Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\wisle_updatat.lnk
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\gfgdfh.zip
- C:\users\public\music\nsmwhi\kdbtuyf.url
- C:\users\public\music\nsmwhi\qgrqgih.url
- C:\users\public\music\nsmwhi\txohukf.url
- C:\users\public\music\nsmwhi\tcwleiu.url
- C:\users\public\swiut\vkr.zip
- C:\users\public\swiut\wisle_updatat.lnk
- C:\users\public\music\nsmwhi\wveres.lnk
- C:\users\public\music\nsmwhi\elfiip.lnk
- C:\users\public\music\nsmwhi\dbroex.lnk
- C:\users\public\music\nsmwhi\ydkbfg.lnk
- C:\users\public\music\nsmwhi\lxghbg.lnk
- C:\users\public\music\nsmwhi\ruuyge.lnk
- C:\users\public\swiut\fdafvdav.fdafda
- %ALLUSERSPROFILE%\png.1413131
- C:\users\public\pictures\vrice\lankgd\wc.xml
- C:\users\public\pictures\vrice\lankgd\zlib1.dll
- C:\users\public\pictures\vrice\lankgd\ssleay32.dll
- C:\users\public\pictures\vrice\lankgd\libeay32.dll
- C:\users\public\pictures\vrice\lankgd\fdafvad.fdafad
- C:\users\public\music\nsmwhi\xoxbyxs.url
- C:\users\public\music\nsmwhi\aeevoga.url
Удаляет следующие файлы
- C:\users\public\music\nsmwhi\ruuyge.lnk
- C:\users\public\music\nsmwhi\lxghbg.lnk
- C:\users\public\music\nsmwhi\ydkbfg.lnk
- C:\users\public\music\nsmwhi\dbroex.lnk
- C:\users\public\music\nsmwhi\elfiip.lnk
- C:\users\public\music\nsmwhi\wveres.lnk
- C:\users\public\gfgdfh.zip
- C:\users\public\music\nsmwhi\aeevoga.url
- C:\users\public\music\nsmwhi\kdbtuyf.url
- C:\users\public\music\nsmwhi\qgrqgih.url
- C:\users\public\music\nsmwhi\tcwleiu.url
- C:\users\public\music\nsmwhi\txohukf.url
- C:\users\public\music\nsmwhi\xoxbyxs.url
- C:\users\public\swiut\vkr.zip
- C:\users\public\swiut\ehgg.exe
- C:\users\public\swiut\wisle_updatat.lnk
Перемещает следующие файлы
- C:\users\public\swiut\fdafvdav.fdafda в C:\users\public\swiut\ehgg.exe
- C:\users\public\pictures\vrice\lankgd\fdafvad.fdafad в C:\users\public\pictures\vrice\lankgd\urytal.exe
- C:\users\public\pictures\vrice\lankgd\urytal.exe в C:\users\public\pictures\vrice\lankgd\urytal.exegddfgpg
- %ALLUSERSPROFILE%\png.1413131 в %ALLUSERSPROFILE%\shell.txt
Подменяет следующие файлы
- C:\users\public\pictures\vrice\lankgd\urytal.exe
Сетевая активность
Подключается к
- 'no##.youdao.com':80
- '18#.#89.240.187':7075
TCP
Запросы HTTP GET
- http://no##.youdao.com/yws/api/personal/share?me##################################################
- http://no##.youdao.com/yws/public/notebook/3865a47559efe2bcbe0fedf89106d323/subdir/WEB5291a3e3870f049b8ab5f6a3bef8ff43
- http://no##.youdao.com/yws/api/personal/file/WEBebaa650442147577f77933306edca0b7?me#######################################################
- http://bu#########e-online-cdn.note.youdao.com/quanshiyu2022%40163.com%2F511C59E0861341668A0596CC780DE624?do#####################################################################################...
Другие
- '18#.#89.240.187':7075
UDP
- DNS ASK no##.youdao.com
- DNS ASK bu#########e-online-cdn.note.youdao.com
- DNS ASK wa##i.me
Другое
Ищет следующие окна
- ClassName: 'CabinetWClass' WindowName: ''
- ClassName: 'ShellTabWindowClass' WindowName: ''
- ClassName: 'DUIViewWndClassName' WindowName: ''
- ClassName: 'DirectUIHWND' WindowName: ''
- ClassName: 'CtrlNotifySink' WindowName: ''
- ClassName: 'SHELLDLL_DefView' WindowName: ''
- ClassName: 'CTXOPConntion_Class' WindowName: ''
Создает и запускает на исполнение
- 'C:\users\public\swiut\ehgg.exe' C:\Users\Public\swiut\vkr.zip -d %APPDATA%
- 'C:\users\public\pictures\vrice\lankgd\urytal.exe'
- '%WINDIR%\explorer.exe' C:\Users\Public\Music\nsmwhi' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\explorer.exe' C:\Users\Public\Music\nsmwhi
