Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\verclsid.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\verclsid.exe
- <SYSTEM32>\ctfmon.exe
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- C:\Documents\user\locals~1\temp\aut2.tmp
- C:\Documents\user\locals~1\temp\gobioid
- C:\Documents\user\locals~1\temp\aut3.tmp
- C:\Documents\user\locals~1\temp\colliquefaction
- C:\Documents\user\locals~1\temp\q658r.zip
- C:\Documents\user\locals~1\temp\temporary directory 1 for q658r.zip\sqlite3.def
- %TEMP%\sqlite3.def
- C:\Documents\user\locals~1\temp\temporary directory 1 for q658r.zip\sqlite3.dll
- %TEMP%\sqlite3.dll
Удаляет следующие файлы
- C:\Documents\user\locals~1\temp\aut2.tmp
- C:\Documents\user\locals~1\temp\aut3.tmp
Сетевая активность
Подключается к
- '3x###tball.com':80
- 'sq##te.org':80
- 'ka###itai.tokyo':80
- 'go#####ade-travel.com':80
TCP
Запросы HTTP GET
- http://www.3x###tball.com/fo8o/?1T########################################################################################################################################
- http://www.sq##te.org/2021/sqlite-dll-win32-x86-3350000.zip
- http://www.ka###itai.tokyo/fo8o/?1T########################################################################################################################################
- http://www.go#####ade-travel.com/fo8o/?1T########################################################################################################################################
Запросы HTTP POST
- http://www.ka###itai.tokyo/fo8o/
- http://www.go#####ade-travel.com/fo8o/
UDP
- DNS ASK 3x###tball.com
- DNS ASK sq##te.org
- DNS ASK ka###itai.tokyo
- DNS ASK go#####ade-travel.com
Другое
Запускает на исполнение
- '<SYSTEM32>\svchost.exe'
- '<SYSTEM32>\rundll32.exe' shell32.dll,Activate_RunDLL
- '%ProgramFiles%\mozilla firefox\firefox.exe'
