Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\udp subsystem
- <SYSTEM32>\tasks\azroles
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee\run.dat
- %TEMP%\tmpe1f5.tmp
- %APPDATA%\36d1130a-ac2e-44f7-9dc1-e424fbcbe0ee\task.dat
- %HOMEPATH%\winsat\igfxem.exe
- %HOMEPATH%\azroles.lnk
Удаляет следующие файлы
- %TEMP%\tmpe1f5.tmp
Сетевая активность
Подключается к
- 'bn##.#uckdns.org':4156
TCP
Другие
- 'bn##.#uckdns.org':4156
UDP
- DNS ASK bn##.#uckdns.org
Другое
Создает и запускает на исполнение
- '%HOMEPATH%\winsat\igfxem.exe'
- '%WINDIR%\syswow64\schtasks.exe' /create /tn azroles /tr "%HOMEPATH%\WinSAT\igfxEM.exe" /sc minute /mo 1 /F' (со скрытым окном)
- '%HOMEPATH%\winsat\igfxem.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v2.0.50727\regasm.exe'
- '%WINDIR%\syswow64\schtasks.exe' /create /f /tn "UDP Subsystem" /xml "%TEMP%\tmpE1F5.tmp"
- '%WINDIR%\syswow64\schtasks.exe' /create /tn azroles /tr "%HOMEPATH%\WinSAT\igfxEM.exe" /sc minute /mo 1 /F
- '<SYSTEM32>\taskeng.exe' {1A4C30B8-2266-4B54-AD82-DB2A702762AB} S-1-5-21-1960123792-2022915161-3775307078-1001:liuzsnx\user:Interactive:[1]
