Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\MSWindows] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\urdvxc.exe' /uninstallservice patch:<Полный путь к вирусу>
- '<SYSTEM32>\urdvxc.exe' /service
- '<SYSTEM32>\urdvxc.exe' /installservice
- '<SYSTEM32>\urdvxc.exe' /start
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe' -k netsvcs
- '<SYSTEM32>\dumprep.exe' 1120 -dm 7 7 %TEMP%\WER6d70.dir00\svchost.exe.mdmp 16325836412032448
Изменения в файловой системе:
Создает следующие файлы:
- %CommonProgramFiles%\Microsoft Shared\Stationery\vkjljzrn.exe
- %CommonProgramFiles%\Microsoft Shared\Stationery\bhrhnkht.exe
- <SYSTEM32>\urdvxc.exe
- %TEMP%\WER6d70.dir00\svchost.exe.mdmp
Самоудаляется.
Сетевая активность:
Подключается к:
- '20#.#28.224.217':445
- '20#.#28.164.45':445
- '20#.#28.49.14':445
- '20#.#28.243.63':445
- '20#.#28.222.244':445
- '20#.#28.249.28':445
- '20#.#28.8.109':445
- '20#.#28.168.239':445
- '20#.#28.42.6':445
- '20#.#28.17.215':445
- '20#.#28.233.252':445
- '20#.#28.6.123':445
- '20#.#28.108.165':445
- '20#.#28.114.9':445
- '20#.#28.40.214':445
- '20#.#28.14.234':445
- '20#.#28.98.50':445
- '20#.#28.12.186':445
- '20#.#28.21.198':445
- '20#.#28.64.229':445
- '20#.#28.11.183':445
- '20#.#28.243.36':445
- '20#.#28.65.13':445
- '20#.#28.245.33':445
- '20#.#28.28.34':445
- '20#.#28.143.47':445
- '20#.#28.24.10':445
- '20#.#28.176.202':445
- '20#.#28.215.127':445
- '20#.#28.40.134':445
- '20#.#28.64.225':445
- '20#.#28.8.80':445
- '20#.#28.24.10':9988
- '20#.#28.243.36':9988
- '20#.#28.47.121':9988
- '20#.#28.40.214':9988
- '20#.#28.65.13':9988
- '20#.#28.64.225':9988
- '20#.#28.28.34':9988
- '20#.#28.126.39':9988
- '20#.#28.135.173':9988
- '20#.#28.114.9':9988
- '20#.#28.42.6':9988
- '20#.#28.17.215':9988
- '20#.#28.40.134':9988
- '20#.#28.64.229':9988
- '20#.#28.6.123':9988
- '20#.#28.216.91':9988
- '20#.#28.43.20':9988
- '20#.#28.103.80':445
- '20#.#28.29.44':9988
- '20#.#28.186.103':9988
- '20#.#28.216.91':445
- '20#.#28.135.173':445
- '20#.#28.29.44':445
- '20#.#28.45.137':445
- '20#.#28.164.45':9988
- '20#.#28.8.80':9988
- '20#.#28.206.188':9988
- '20#.#28.212.141':9988
- '20#.#28.98.50':9988
- '20#.#28.122.69':9988
- '20#.#28.215.127':9988
- '20#.#28.103.80':9988
- '20#.#28.60.164':445
- '20#.#28.21.198':139
- '20#.#28.245.33':139
- '20#.#28.215.127':139
- '20#.#28.40.134':139
- '20#.#28.98.50':139
- '20#.#28.64.229':139
- '20#.#28.65.13':139
- '20#.#28.11.183':139
- '20#.#28.176.202':139
- '20#.#28.24.10':139
- '20#.#28.164.45':139
- '20#.#28.243.63':139
- '20#.#28.64.225':139
- '20#.#28.8.80':139
- '20#.#28.28.34':139
- '20#.#28.143.47':139
- '20#.#28.186.103':139
- '20#.#28.145.105':139
- '20#.#28.43.20':139
- '20#.#28.206.188':139
- '20#.#28.142.91':139
- '20#.#28.137.206':139
- '20#.#28.11.131':139
- '20#.#28.122.69':139
- '20#.#28.12.186':139
- '20#.#28.243.36':139
- '20#.#28.60.164':139
- '20#.#28.212.141':139
- '20#.#28.136.153':139
- '20#.#28.47.121':139
- '20#.#28.68.25':139
- '20#.#28.126.39':139
- '20#.#28.11.131':445
- '20#.#28.142.91':445
- '20#.#28.43.20':445
- '20#.#28.137.206':445
- '20#.#28.216.91':139
- '20#.#28.103.80':139
- '20#.#28.122.69':445
- '20#.#28.29.44':139
- '20#.#28.145.105':445
- '20#.#28.136.153':445
- '20#.#28.212.141':445
- '20#.#28.68.25':445
- '20#.#28.186.103':445
- '20#.#28.206.188':445
- '20#.#28.47.121':445
- '20#.#28.126.39':445
- '20#.#28.249.28':139
- '20#.#28.8.109':139
- '20#.#28.233.252':139
- '20#.#28.224.217':139
- '20#.#28.49.14':139
- '20#.#28.222.244':139
- '20#.#28.168.239':139
- '20#.#28.114.9':139
- '20#.#28.45.137':139
- '20#.#28.42.6':139
- '20#.#28.135.173':139
- '20#.#28.17.215':139
- '20#.#28.108.165':139
- '20#.#28.40.214':139
- '20#.#28.6.123':139
- '20#.#28.14.234':139
