Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\Vnfvnf Wofwo] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\Vnfvnf Wofwo] 'ImagePath' = '<SYSTEM32>\Vnfvn.exe -auto'
Создает следующие сервисы
- 'Vnfvnf Wofwo' <SYSTEM32>\Vnfvn.exe -auto
Вредоносные функции
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>#eiajlkjgw.exe
- %WINDIR%\syswow64\vnfvn.exe
- nul
- %WINDIR%\syswow64\delete00.bat
Удаляет следующие файлы
- <Текущая директория>#eiajlkjgw.exe
Самоудаляется.
Сетевая активность
Подключается к
- '10#.#33.8.175':6858
UDP
- 'localhost':64286
- 'localhost':57944
- 'localhost':51127
- 'localhost':51105
- 'localhost':50047
- 'localhost':64351
Другое
Создает и запускает на исполнение
- '<Текущая директория>#eiajlkjgw.exe'
- '%WINDIR%\syswow64\vnfvn.exe' -auto
- '%WINDIR%\syswow64\vnfvn.exe' -acsi
- '%WINDIR%\syswow64\cmd.exe' \c ping -n 2 127.0.0.1 > nul && del <Текущая директория>#~1.EXE > nul' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\\Delete00.bat' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' \c ping -n 2 127.0.0.1 > nul && del <Текущая директория>#~1.EXE > nul
- '%WINDIR%\syswow64\ping.exe' -n 2 127.0.0.1
- '%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\\Delete00.bat
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1
