Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\microsoftedgeupdatetask{3bf7737b-7c89-4da1-80fa-b4ed7e1e4652}
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\raqudt
- C:\users\public\documents\hk47n7\clhook.dll
- C:\users\public\documents\hk47n7\aqfvad.fdafad
- C:\users\public\documents\hk47n7\p.mgc
- %ALLUSERSPROFILE%\png.1413131
- %APPDATA%\14nr7\fdafvdav.fdafda
- %APPDATA%\14nr7\website_secure_lnk.lnk
- %APPDATA%\14nr7\microsoft\windows\start menu\programs\startup\website_secure_lnk.lnk
- %APPDATA%\14nr7\03j.zip
- C:\users\public\i2lp5o
- C:\users\public\documents\hk47n7\longlq.cl
- C:\users\public\documents\hk47n7\data\user\claunch.ini
- C:\users\public\documents\hk47n7\data\user\design.ini
- C:\users\public\documents\hk47n7\data\user\clicons.bin
- %LOCALAPPDATA%\p59s8cd.exe
Удаляет следующие файлы
- %APPDATA%\14nr7\microsoft\windows\start menu\programs\startup\website_secure_lnk.lnk
- C:\users\public\i2lp5o
- %APPDATA%\14nr7\03j.zip
- %APPDATA%\14nr7\8o8b.exe
- %APPDATA%\14nr7\website_secure_lnk.lnk
- C:\users\public\raqudt
Перемещает следующие файлы
- C:\users\public\documents\hk47n7\aqfvad.fdafad в C:\users\public\documents\hk47n7\p59s8cd.exe
- %APPDATA%\14nr7\fdafvdav.fdafda в %APPDATA%\14nr7\8o8b.exe
- C:\users\public\documents\hk47n7\p59s8cd.exe в C:\users\public\documents\hk47n7\p59s8cd.exe88o8brb
- %ALLUSERSPROFILE%\png.1413131 в %ALLUSERSPROFILE%\shell.txt
Подменяет следующие файлы
- C:\users\public\documents\hk47n7\p59s8cd.exe
Сетевая активность
Подключается к
- 'xi#####.weilay.com.cn':80
- '11#.#31.74.159':8080
- '30##cs.cn':8088
- 'localhost':80
- '<LOCALNET>.66.2':0
TCP
Запросы HTTP GET
- http://xi#####.weilay.com.cn/llq.rar
- http://xi#####.weilay.com.cn/output.log
- http://xi#####.weilay.com.cn/trx38.zip
- http://xi#####.weilay.com.cn/d.zip
- http://11#.##1.74.159:8080/NewService/PIqrY2yIqc3.asmx/H1rO7Ueq?PU##################################################### via 11#.#31.74.159
UDP
- DNS ASK xi#####.weilay.com.cn
- DNS ASK 30##cs.cn
- DNS ASK hn##gj.com
- 'localhost':61570
- 'localhost':55227
Другое
Ищет следующие окна
- ClassName: 'CLaunchWndClass' WindowName: ''
Создает и запускает на исполнение
- 'C:\users\public\documents\hk47n7\p59s8cd.exe'
Запускает на исполнение
- '<SYSTEM32>\taskeng.exe' {84FEDC71-3805-409B-A91E-59C1E3EEB95A} S-1-5-21-3150914307-1777937420-491476919-1000:womtbimeyiep\user:Interactive:[1]
- 'C:\users\public\documents\hk47n7\p59s8cd.exe' (со скрытым окном)
