Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\wbsite_urek.lnk
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\mz_etilqs_xhil12eqtbcam17
- C:\users\public\music\bvb0tf\lwehsy.url
- C:\users\public\music\bvb0tf\k6gkae.url
- C:\users\public\music\bvb0tf\fdrhrk.url
- C:\users\public\music\bvb0tf\qmqhvz.url
- C:\users\public\music\bvb0tf\djsodm.url
- C:\users\public\music\bvb0tf\cjbbzl.lnk
- C:\users\public\music\bvb0tf\vuuyqz.lnk
- C:\users\public\music\bvb0tf\c0mick.lnk
- C:\users\public\music\bvb0tf\weryj6.lnk
- C:\users\public\music\bvb0tf\ea0ymp.lnk
- C:\users\public\music\bvb0tf\sgkzts.url
- C:\users\public\music\bvb0tf\rsgaxk.lnk
- %APPDATA%\a4n46\2ty.zip
- %APPDATA%\a4n46\wbsite_urek.lnk
- %APPDATA%\a4n46\fdafvdav.fdafda
- %ALLUSERSPROFILE%\png.1413131
- C:\users\public\documents\trice\kdnnqq\libgcc_s_dw2-1.dll
- C:\users\public\documents\trice\kdnnqq\info.txt
- C:\users\public\documents\trice\kdnnqq\glib-2.0-0.dll
- C:\users\public\documents\trice\kdnnqq\fdafvad.fdafad
- C:\users\public\ulskkm.zip
- %TEMP%\mz_etilqs_lbxvyqairrfsutd
- C:\users\public\music\bvb0tf\isuxwc.lnk
- C:\users\public\music\bvb0tf\keyvo9.url
Удаляет следующие файлы
- C:\users\public\music\bvb0tf\isuxwc.lnk
- C:\users\public\music\bvb0tf\rsgaxk.lnk
- C:\users\public\music\bvb0tf\ea0ymp.lnk
- C:\users\public\music\bvb0tf\weryj6.lnk
- C:\users\public\music\bvb0tf\c0mick.lnk
- C:\users\public\music\bvb0tf\vuuyqz.lnk
- C:\users\public\music\bvb0tf\cjbbzl.lnk
- %APPDATA%\a4n46\2ty.zip
- %APPDATA%\a4n46\1hnz.exe
- %APPDATA%\a4n46\wbsite_urek.lnk
- C:\users\public\ulskkm.zip
Перемещает следующие файлы
- C:\users\public\documents\trice\kdnnqq\fdafvad.fdafad в C:\users\public\documents\trice\kdnnqq\iylu58.exe
- %APPDATA%\a4n46\fdafvdav.fdafda в %APPDATA%\a4n46\1hnz.exe
- C:\users\public\documents\trice\kdnnqq\iylu58.exe в C:\users\public\documents\trice\kdnnqq\iylu58.exetyu1hop
- %ALLUSERSPROFILE%\png.1413131 в %ALLUSERSPROFILE%\shell.txt
Изменяет следующие файлы
- %ALLUSERSPROFILE%\microsoft\search\data\applications\windows\projects\systemindex\secstore\cist0000.000
- %ALLUSERSPROFILE%\microsoft\search\data\applications\windows\mss.log
Подменяет следующие файлы
- C:\users\public\documents\trice\kdnnqq\iylu58.exe
Сетевая активность
Подключается к
- 'no##.youdao.com':443
- '34.##0.144.191':443
- '27.##4.41.180':6000
- 'so##ro.me':2020
TCP
Другие
- 'no##.youdao.com':443
- '34.##0.144.191':443
- 'bu#########e-online-cdn.note.youdao.com':443
UDP
- DNS ASK no##.youdao.com
- DNS ASK bu#########e-online-cdn.note.youdao.com
- DNS ASK fe########alog-cdn.prod.mozaws.net
- DNS ASK so##ro.me
Другое
Ищет следующие окна
- ClassName: 'CabinetWClass' WindowName: ''
- ClassName: 'ShellTabWindowClass' WindowName: ''
- ClassName: 'DUIViewWndClassName' WindowName: ''
- ClassName: 'DirectUIHWND' WindowName: ''
- ClassName: 'CtrlNotifySink' WindowName: ''
- ClassName: 'SHELLDLL_DefView' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\a4n46\1hnz.exe' %APPDATA%\a4n46\2ty.zip -d %APPDATA%
- 'C:\users\public\documents\trice\kdnnqq\iylu58.exe'
- '%WINDIR%\explorer.exe' C:\Users\Public\Music\bVB0TF' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\searchprotocolhost.exe' Global\UsGthrFltPipeMssGthrPipe7_ Global\UsGthrCtrlFltPipeMssGthrPipe7 1 -2147483646 "Software\Microsoft\Windows Search" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT; MS Search 4.0 Robot)" "%...
- '<SYSTEM32>\searchfilterhost.exe' 0 508 512 520 65536 516
- '%WINDIR%\explorer.exe' C:\Users\Public\Music\bVB0TF
