Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\syshost32] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\syshost32] 'ImagePath' = '"%WINDIR%\Installer\{0EBEBB40-F180-DA67-30D8-7CA510CBE503}\syshost.exe" /service'
- [<HKLM>\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Создает следующие сервисы
- 'syshost32' "%WINDIR%\Installer\{0EBEBB40-F180-DA67-30D8-7CA510CBE503}\syshost.exe" /service
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall set rule name="Core Networking - System IP Core" dir=in new action=allow enable=yes profile=any
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Core Networking - System IP Core" dir=in action=allow enable=yes profile=any
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall set rule name="Core Networking - System IP Core" dir=out new action=allow enable=yes profile=any
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Core Networking - System IP Core" dir=out action=allow enable=yes profile=any
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\installer\{0ebebb40-f180-da67-30d8-7ca510cbe503}\syshost.exe
- %WINDIR%\temp\ed0c884a-6dfe-eb23-8182-feeff5418f57.tmp
Самоперемещается
- из <Полный путь к файлу> в %TEMP%\e5a823e2.tmp
Самоудаляется.
Сетевая активность
Подключается к
- 'microsoft.com':80
- '78.##5.76.86':7893
- '19#.#09.93.152':12372
- '11#.#52.103.170':6911
- '61.##.178.135':12056
- '77.#0.20.58':11006
UDP
- DNS ASK microsoft.com
- DNS ASK xg####euemjyly.com
- DNS ASK sd###ijfsv.com
- DNS ASK jp####szvujsi.com
- DNS ASK iy####rzduhux.com
- DNS ASK 0.###l.ntp.org
- DNS ASK 1.###l.ntp.org
- DNS ASK 2.###l.ntp.org
- '93.##4.219.182':11573
- '1.##.60.244':11628
- '79.##4.79.150':26912
- '14.##.202.14':13729
- '18#.#0.142.112':18440
- '19#.#90.108.217':31974
- '12#.#05.93.194':29265
- '58.##7.17.201':14458
- '12#.#.49.219':26459
- '18#.#26.148.210':17224
- '86.##0.151.179':15367
- '11#.#9.132.2':12578
- '11#.#7.102.107':17801
- '31.##.187.56':31369
- '11#.#5.214.4':10004
- '11#.15.4.15':7293
- '20#.210.3.6':29036
- '1.###l.ntp.org':123
- '2.###l.ntp.org':123
- '11#.#8.114.36':25060
- '17#.79.4.59':24571
- '18#.#93.158.170':9310
- '18#.#18.27.212':32496
- '17#.#89.222.167':29448
- '85.##5.62.120':13768
- '1.##.198.174':25341
- '0.###l.ntp.org':123
- '18#.#8.208.146':18049
- '18#.#2.154.175':25706
- '16#.#7.123.172':19562
- '12#.#33.220.170':13458
- '10#.#60.104.206':14500
- '21#.#00.147.199':23938
Другое
Создает и запускает на исполнение
- '%WINDIR%\installer\{0ebebb40-f180-da67-30d8-7ca510cbe503}\syshost.exe' /service
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall set rule name="Core Networking - System IP Core" dir=in new action=allow enable=yes profile=any' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C del /Q /F "%TEMP%\e5a823e2.tmp"' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Core Networking - System IP Core" dir=in action=allow enable=yes profile=any' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall set rule name="Core Networking - System IP Core" dir=out new action=allow enable=yes profile=any' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Core Networking - System IP Core" dir=out action=allow enable=yes profile=any' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C del /Q /F "%TEMP%\e5a823e2.tmp"
