Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'IDMan' = '%LOCALAPPDATA%\9471zkc9.exe'
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %APPDATA%\mozilla\firefox\profiles\yfwt7ezn.default-release-1\logins.json
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\screen.jpg
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\9471zkc9.exe
Изменяет следующие файлы
Самоперемещается
- из <Полный путь к файлу> в %LOCALAPPDATA%\9471zkc9.exe
Сетевая активность
Подключается к
- 'pa###.##spersecurity.xyz':80
- 'localhost':49195
TCP
Запросы HTTP POST
- http://pa###.##spersecurity.xyz/Main/blista.php
Другие
- '34.##9.100.209':443
- 'localhost':49195
- 'localhost':49196
UDP
- DNS ASK pa###.##spersecurity.xyz
