Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'ozwrslyvenkncvs' = '%WINDIR%\SysWOW64\srv955.exe'
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\rixcxwpoxlSv\Parameters] 'ServiceDll' = '%WINDIR%\SysWOW64\svcrixcxwp.dll'
- [HKLM\System\CurrentControlSet\Services\rixcxwpoxlSv] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\rixcxwpoxlSv] 'ImagePath' = '<SYSTEM32>\svchost.exe -k DcomSec'
Создает следующие сервисы
- 'rixcxwpoxlSv' <SYSTEM32>\svchost.exe -k DcomSec
Изменения в файловой системе
Создает следующие файлы
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\03a3284413e76ab9ef6155914780932b53a25664
- D:\users\user\appdata\local\temp\lse77de.tmp
- D:\windows\system32\winevt\logs\application.evtx
- D:\windows\system32\winevt\logs\microsoft-windows-networkprofile%4operational.evtx
- D:\users\user\ntuser.dat
- D:\users\user\ntuser.dat.log1
- D:\windows\system32\winevt\logs\system.evtx
- D:\windows\system32\winevt\logs\security.evtx
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive0.dat
- D:\windows\system32\config\software
- D:\windows\system32\config\software.log1
- D:\users\user\appdata\local\temp\lse2c3e.tmp
- D:\windows\appcompat\programs\recentfilecache.bcf
- D:\windows\system32\config\system
- D:\windows\system32\config\system.log1
- D:\windows\syswow64\svcrixcxwp.dll
- D:\system volume information\syscache.hve
- D:\system volume information\syscache.hve.log1
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite-wal
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite
- D:\windows\syswow64\srv955.exe
- D:\users\user\appdata\local\temp\lisfbac.tmp
- D:\logbot.txt
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat.log1
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\a2917ec14a390ebf8c127f40bed1c8139e236dad
- D:\windows\system32\winevt\logs\microsoft-windows-wer-diag%4operational.evtx
- D:\windows\system32\winevt\logs\microsoft-windows-fault-tolerant-heap%4operational.evtx
Удаляет следующие файлы
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite-wal
Сетевая активность
TCP
Другие
- 'localhost':49158
- '35.##1.9.150':443
- '34.##0.144.191':443
Другое
Ищет следующие окна
- ClassName: 'SystemTray_Main' WindowName: ''
Создает и запускает на исполнение
- 'D:\windows\syswow64\werfault.exe' -u -p 2236 -s 3876' (со скрытым окном)
- 'D:\windows\syswow64\werfault.exe' -u -p 2088 -s 604' (со скрытым окном)
- 'D:\windows\syswow64\werfault.exe' -u -p 2088 -s 1052' (со скрытым окном)
- 'D:\windows\syswow64\werfault.exe' -u -p 1332 -s 252' (со скрытым окном)
