Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'WinHost32' = '<SYSTEM32>\WinHost32.exe'
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '%TEMP%\qu486.exe'
Запускает на исполнение (эксплоит)
- '%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 1968
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\qu486.exe
- %TEMP%\1023226.cvr
- %WINDIR%\syswow64\winhost32.exe
Удаляет следующие файлы
- %TEMP%\qu486.exe
Сетевая активность
Подключается к
- 'ap#.#pify.org':80
TCP
Запросы HTTP GET
- http://ap#.#pify.org/
UDP
- DNS ASK ap#.#pify.org
- DNS ASK re###parwil.com
- DNS ASK le####enhispar.ru
- DNS ASK re###rtinrom.ru
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\winhost32.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' del %TEMP%\qu486.exe >> NUL
