Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\rundll32.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\oipqityrtawd.tmp
Изменяет следующие файлы
- %TEMP%\aspnetsetup.log
- %TEMP%\javadeployreg.log
- %TEMP%\dd_wcf_ca_smci_20200611_031056_919.txt
- %TEMP%\aspnetsetup_00000.log
- %TEMP%\aspnetsetup_00002.log
- %TEMP%\dd_wcf_ca_smci_20151217_052908_497.txt
- %TEMP%\microsoft .net framework 4.5.2 setup_20151216_212237215.html
- %TEMP%\dd_setuputility.txt
- %TEMP%\adobearm.log
- %TEMP%\msid38c.log
- %TEMP%\dotnetfx.log
- %TEMP%\dd_ndp471-kb4033342-x86-x64-allos-enu_decompression_log.txt
- %TEMP%\aspnetsetup_00003.log
- %TEMP%\msieb217.log
- %TEMP%\adobearm_notlocked.log
- %TEMP%\dd_vcredist_x86_20151216210157_001_vcruntimeadditional_x86.log
- %TEMP%\dd_vcredist_amd64_20151216210341_000_vcruntimeminimum_x64.log
- %TEMP%\dd_ndp452-kb2901907-x86-x64-allos-enu_decompression_log.txt
Сетевая активность
Подключается к
- '23.##6.181.126':443
- '14#.#1.226.233':443
- 'microsoft.com':80
- '23.##4.231.10':443
- 'localhost':24077
- 'localhost':1312
TCP
Запросы HTTP GET
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
Другие
- '23.##6.181.126':443
- '14#.#1.226.233':443
- '23.##4.231.10':443
UDP
- DNS ASK microsoft.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\rundll32.exe' "<Полный путь к файлу>",Wfswyf' (со скрытым окном)
- '<SYSTEM32>\rundll32.exe' "<SYSTEM32>\shell32.dll",#61 24077' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\rundll32.exe' "<Полный путь к файлу>",Wfswyf
- '<SYSTEM32>\rundll32.exe' "<SYSTEM32>\shell32.dll",#61 24077
