Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\rundll32.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\oyauyrtqthao.tmp
Изменяет следующие файлы
- %TEMP%\dd_vcredist_amd64_20151216210341_000_vcruntimeminimum_x64.log
- %TEMP%\aspnetsetup_00001.log
- %TEMP%\jusched.log
- %TEMP%\dd_ndp452-kb2901907-x86-x64-allos-enu_decompression_log.txt
- %TEMP%\javadeployreg.log
- %TEMP%\microsoft .net framework 4.7.1 setup_20200610_195959602.html
- %TEMP%\dd_wcf_ca_smci_20151217_052908_497.txt
- %TEMP%\adobearm_notlocked.log
- %TEMP%\dd_wcf_ca_smci_20200611_031056_919.txt
- %TEMP%\microsoft visual c++ 2010 x86 redistributable setup_20150506_155226438.html
- %TEMP%\dd_setuputility.txt
Сетевая активность
Подключается к
- '10#.#34.239.223':443
- '10#.#34.119.237':443
- 'microsoft.com':80
- 'localhost':20545
- 'localhost':1312
TCP
Запросы HTTP GET
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
Другие
- '10#.#34.239.223':443
- '10#.#34.119.237':443
UDP
- DNS ASK microsoft.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\rundll32.exe' "<Полный путь к файлу>",Tseyfqqs' (со скрытым окном)
- '<SYSTEM32>\rundll32.exe' "<SYSTEM32>\shell32.dll",#61 20545' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\rundll32.exe' "<Полный путь к файлу>",Tseyfqqs
- '<SYSTEM32>\rundll32.exe' "<SYSTEM32>\shell32.dll",#61 20545
