Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\winrar update
Вредоносные функции
Создает и загружает библиотеки (эксплоит)
- %ALLUSERSPROFILE%\microsoft outlook sync\background.dll
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\rundll32.exe
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\microsoft outlook sync\guest.bmp
- <Текущая директория>\document.doc
- %ALLUSERSPROFILE%\microsoft outlook sync\background.dll
Удаляет следующие файлы
- %ALLUSERSPROFILE%\microsoft outlook sync\guest.bmp
Сетевая активность
Подключается к
- 'to#######sisted-sugar.glitch.me':443
- 'x.##2.us':80
TCP
Запросы HTTP GET
- http://x.##2.us/x.cer
Другие
- 'to#######sisted-sugar.glitch.me':443
UDP
- DNS ASK to#######sisted-sugar.glitch.me
- DNS ASK x.##2.us
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\rundll32.exe' background.DLL,SaveProfile' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\taskeng.exe' {E87CFB9D-6B07-48D0-8CC4-D8486660DA33} S-1-5-21-1238866942-1249195528-555854008-1000:hifsfkooaivz\user:Interactive:[1]
- '<SYSTEM32>\rundll32.exe' background.DLL,SaveProfile
