Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'WinHost32' = '<SYSTEM32>\WinHost32.exe'
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '%TEMP%\jw472.exe'
Запускает на исполнение (эксплоит)
- '%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 1400
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\winhost32.exe
следующие пользовательские процессы:
- jw472.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\jw472.exe
- %TEMP%\1439405.cvr
- %WINDIR%\syswow64\winhost32.exe
Удаляет следующие файлы
- %TEMP%\jw472.exe
Сетевая активность
Подключается к
- 'ap#.#pify.org':80
- 'ti###ranter.com':80
TCP
Запросы HTTP GET
- http://ap#.#pify.org/
Запросы HTTP POST
- http://ti###ranter.com/ls5/gate.php
UDP
- DNS ASK ap#.#pify.org
- DNS ASK ti###ranter.com
- DNS ASK ni####tjohnno.ru
- DNS ASK ty###atit.ru
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\winhost32.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' del %TEMP%\jw472.exe >> NUL
