Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'AutoRun' = '<Полный путь к файлу>'
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\ufx5820] 'ImagePath' = '<DRIVERS>\ufx5820.sys'
Создает следующие сервисы
- 'ufx5820' <DRIVERS>\ufx5820.sys
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\81597ca3dedf6dcceb2686ecc2bfeaae.tmp-journal
- %TEMP%\81597ca3dedf6dcceb2686ecc2bfeaae.tmp
Удаляет следующие файлы
- %TEMP%\81597ca3dedf6dcceb2686ecc2bfeaae.tmp-journal
Подменяет следующие исполняемые файлы
- <Полный путь к файлу>
Подменяет следующие файлы
- %TEMP%\81597ca3dedf6dcceb2686ecc2bfeaae.tmp-journal
Самоперемещается
- из <Полный путь к файлу> в <Текущая директория>\tmp\260176d92bbce5f070fb9b8bf551173f
Самоудаляется.
Сетевая активность
Подключается к
- '11#.#5.12.142':56667
- 'localhost':40678
TCP
Другие
- '11#.#5.12.142':56667
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "<Полный путь к файлу>"
- '<SYSTEM32>\cmd.exe' /c sc delete ufx5820
- '<SYSTEM32>\sc.exe' delete ufx5820
