Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefox default browser agent 35cf8773a85755e7
- <SYSTEM32>\tasks\rovwer.exe
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\explorer.exe
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- iexplore.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\ftistue
- %APPDATA%\dftwihh
- %TEMP%\88fd.exe
- %TEMP%\b667dbdcd8\rovwer.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\ftistue
- %APPDATA%\dftwihh
Самоудаляется.
Сетевая активность
Подключается к
- 'o3####s3sn6xou.com':80
- 'th#####ncondition.com':443
- '77.##.134.249':80
- '17#.#13.115.201':80
TCP
Запросы HTTP GET
- http://77.##.134.249/vr/movie.exe
Запросы HTTP POST
- http://o3####s3sn6xou.com/
- http://17#.#13.115.201/3g4mn5s/index.php
Другие
- 'th#####ncondition.com':443
UDP
- DNS ASK o3####s3sn6xou.com
- DNS ASK th#####ncondition.com
Другое
Создает и запускает на исполнение
- '%TEMP%\88fd.exe'
- '%TEMP%\b667dbdcd8\rovwer.exe'
- '%TEMP%\b667dbdcd8\rovwer.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 1 /TN rovwer.exe /TR "%TEMP%\b667dbdcd8\rovwer.exe" /F' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\explorer.exe'
- '%WINDIR%\explorer.exe'
- '%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 1 /TN rovwer.exe /TR "%TEMP%\b667dbdcd8\rovwer.exe" /F
