Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\updates\ioxtdsqykyupah
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\regasm_svchost.exe'
- 'C:\users\public\regasm_svchost.exe' /stext "%TEMP%\mwodcjy"
Внедряет код в
следующие пользовательские процессы:
- regasm_svchost.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\Google\Google Talk\Accounts]
- [<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
- [<HKCU>\Identities\{91255D00-95D9-49F5-8E84-7C027F5283B7}\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Identities\{91255D00-95D9-49F5-8E84-7C027F5283B7}\Software\Microsoft\Office\Outlook\OMI Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\MSNMessenger]
- [<HKCU>\Software\Yahoo\Pager]
- [<HKCU>\Software\Microsoft\IdentityCRL]
- [<HKCU>\Software\Microsoft\Windows Live Mail]
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\regasm_svchost.exe
- %APPDATA%\ioxtdsqykyupah.exe
- %TEMP%\tmpd7b8.tmp
- %APPDATA%\data\logs.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\ioxtdsqykyupah.exe
Удаляет следующие файлы
- %TEMP%\tmpd7b8.tmp
Сетевая активность
Подключается к
- '23.##6.160.149':80
- '18#.#40.53.242':2977
- 'ge###ugin.net':80
TCP
Запросы HTTP GET
- http://23.##6.160.149/here/DRIFT.exe
- http://ge###ugin.net/json.gp
Другие
- '18#.#40.53.242':2977
UDP
- DNS ASK ge###ugin.net
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\IoXTdsQYKyUPah.exe"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\IoXTdsQYKyUPah.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\IoXTdsQYKyUPah" /XML "%TEMP%\tmpD7B8.tmp"' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\IoXTdsQYKyUPah" /XML "%TEMP%\tmpD7B8.tmp"
