Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\sohu.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\sohu.exe
- %WINDIR%\syswow64\svehosd.exe
- %LOCALAPPDATA%\microsoft\internet explorer\msimgsiz.dat
Удаляет следующие файлы
- <DRIVERS>\etc\hosts
Изменяет файл HOSTS.
Сетевая активность
Подключается к
- 'tt##6.com':80
- 'hu###omains.com':443
- 'yy.com':80
- 'yy.com':443
TCP
Запросы HTTP GET
- http://www.tt##6.com/
- http://www.tt##6.com/thread.php?fi####
- http://yy.com/5336/1705313832
Другие
- 'hu###omains.com':443
- 'yy.com':443
UDP
- DNS ASK tt##6.com
- DNS ASK hu###omains.com
- DNS ASK yy.com
- DNS ASK yz.##91pay.com
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\sohu.exe'
- '%WINDIR%\syswow64\svehosd.exe'
