Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Daemon' = 'C:\Users\Public\Documents\et.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'svchost' = 'C:\Users\Public\svchost.exe'
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'Regmonclass', WindowName: ''
- ClassName: 'Filemonclass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\documents\libcef.dll
- C:\users\public\documents\calc.exe.exe
- C:\users\public\documents\k360.exe
- C:\users\public\documents\et.exe
- C:\users\public\svchost.exe
Сетевая активность
Подключается к
- 'ma###rong.top':80
- 'ma###rong.top':8848
- 'localhost':8099
- 'microsoft.com':80
TCP
Запросы HTTP GET
- http://15#.#9.203.229/libcef.dll
- http://15#.#9.203.229/calc.exe.exe
- http://15#.#9.203.229/k360.exe
- http://15#.#9.203.229/et.exe
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
Другие
- 'ma###rong.top':8848
UDP
- DNS ASK ma###rong.top
- DNS ASK microsoft.com
Другое
Ищет следующие окна
- ClassName: '4823-00000029' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- 'C:\users\public\documents\k360.exe'
- 'C:\users\public\documents\calc.exe.exe'
- 'C:\users\public\documents\et.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c start C:\Users\Public\Documents\calc.exe.exe
- '%WINDIR%\syswow64\cmd.exe' /c start C:\Users\Public\Documents\et.exe
