Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Microsoft' = '%LOCALAPPDATA%\Microsoft\Update.exe'
Вредоносные функции
Загружает
- https://yip.su/mini
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\bouncycastle.crypto.dll
- %LOCALAPPDATA%\microsoft\update.exe
Присваивает атрибут 'скрытый' для следующих файлов
- <Текущая директория>\bouncycastle.crypto.dll
Изменяет файл HOSTS.
Сетевая активность
Подключается к
- 'ic###azip.com':80
- 'yi#.su':443
- 'ge###tatool.com':443
- 're##ry.co':443
- 'microsoft.com':80
- 'di##ord.com':443
TCP
Запросы HTTP GET
- http://ic###azip.com/
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
Другие
- 'yi#.su':443
- 'ge###tatool.com':443
- 're##ry.co':443
- 'di##ord.com':443
UDP
- DNS ASK ic###azip.com
- DNS ASK yi#.su
- DNS ASK ge###tatool.com
- DNS ASK re##ry.co
- DNS ASK microsoft.com
- DNS ASK di##ord.com
