Техническая информация
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\internet explorer\msimgsiz.dat
- <Текущая директория>\h_e787acea.tmp
- <Текущая директория>\tmp.exe
Удаляет следующие файлы
- <Текущая директория>\h_e787acea.tmp
- <Текущая директория>\tmp.exe
Подменяет следующие исполняемые файлы
- <Полный путь к файлу>
Самоудаляется.
Сетевая активность
Подключается к
- 'pa####aonline.net':80
- 'i.##gur.com':443
- 'cd#.##scordapp.com':443
- 'me###.#iscordapp.net':443
- 'im####.imageshack.us':80
- 'pa####aonline.net':443
TCP
Запросы HTTP GET
- http://www.pa####aonline.net/forum/news-db.php
- http://pa####aonline.net/pictures/news/holidays2016.jpg
- http://pa####aonline.net/pictures/news/Advent2015.jpg
- http://www.pa####aonline.net/heRO_wiki/images/4/4a/Rebuildlutia.png
- http://pa####aonline.net/pictures/news/Hlwn2017.png
- http://pa####aonline.net/pictures/news/2017bdaynews.jpg
- http://pa####aonline.net/pictures/news/Easter2017.jpg
- http://www.pa####aonline.net/heRO_wiki/images/9/92/News-Bifrost.jpg
- http://pa####aonline.net/pictures/news/2016bdaynews.jpg
- http://www.pa####aonline.net/heRO_wiki/images/8/84/Momvpga.jpg
- http://pa####aonline.net/pictures/news/lunar2016.jpg
- http://pa####aonline.net/pictures/news/Scaraba_Byalan.jpg
- http://pa####aonline.net/pictures/news/lunanews.jpg
- http://www.pa####aonline.net/heRO_wiki/images/8/84/Pyramidnews.png
- http://www.pa####aonline.net/heRO_wiki/images/2/2a/Dewatanews2.png
- http://www.pa####aonline.net/heRO_wiki/images/3/31/Abathurintro.png
- http://www.pa####aonline.net/heRO_wiki/images/b/b9/Golemancer_Quest_news_pic.png
- http://pa####aonline.net/pictures/news/valkrecruit.jpg
- http://www.pa####aonline.net/heRO_wiki/images/e/ef/Poporing_Island.jpg
- http://pa####aonline.net/pictures/news/hlwn2015.jpg
- http://www.pa####aonline.net/pictures/news/newmapnews.jpg
- http://pa####aonline.net/pictures/news/bday2015news.jpg
- http://www.pa####aonline.net/pictures/news/newgms2012.jpg
- http://www.pa####aonline.net/heRO_wiki/images/0/06/Muspelpromo.jpg
- http://www.pa####aonline.net/heRO_wiki/images/4/4e/Kushieldungeonnews.png
- http://www.pa####aonline.net/heRO_wiki/images/9/9c/BifrostTower.png
- http://www.pa####aonline.net/heRO_wiki/images/9/99/Lny2024.png
- http://www.pa####aonline.net/patches/thor/td/main.ini
- http://www.pa####aonline.net/forum/basic_frame.css
- http://pa####aonline.net/pictures/news/vday2015.jpg
- http://pa####aonline.net/pictures/news/xmas2015.jpg
- http://www.pa####aonline.net/pictures/banners/easter2023.png
- http://www.pa####aonline.net/patches/thor/td/patch/heROpatchupdate2.thor
- http://www.pa####aonline.net/forum/images/heRO/newsseparator.gif
- http://im####.imageshack.us/img718/8854/fakelogin.th.png
- http://im####.imageshack.us/img243/104/image6c.th.png
- http://im####.imageshack.us/img407/7266/ninjasmalleh3.jpg
- http://pa####aonline.net/pictures/news/perecainn.jpg
- http://pa####aonline.net/pictures/news/bday2018.png
- http://pa####aonline.net/pictures/news/momday.jpg
- http://www.pa####aonline.net/heRO_wiki/images/5/51/Ferreplaygroundbanner.png
- http://pa####aonline.net/pictures/news/Easter_News_2021.jpg
- http://pa####aonline.net/pictures/news/bday2020news.jpg
- http://pa####aonline.net/pictures/news/easter2016.jpg
- http://pa####aonline.net/pictures/news/2019_14thbday.jpg
- http://pa####aonline.net/pictures/news/easter2014.jpg
- http://www.pa####aonline.net/heRO_wiki/images/2/28/Socialmedianewsfeed.png
- http://pa####aonline.net/pictures/news/vday2016.jpg
- http://pa####aonline.net/pictures/news/hlwn2016.jpg
- http://pa####aonline.net/pictures/news/PoringNews.jpg
- http://www.pa####aonline.net/pictures/news/thandun.jpg
Другие
- 'cd#.##scordapp.com':443
- 'i.##gur.com':443
- 'me###.#iscordapp.net':443
- 'pa####aonline.net':443
UDP
- DNS ASK pa####aonline.net
- DNS ASK i.##gur.com
- DNS ASK cd#.##scordapp.com
- DNS ASK me###.#iscordapp.net
- DNS ASK i5#.#inypic.com
- DNS ASK im####.imageshack.us
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\tmp.exe' @idunno "<Имя файла>.exe"
Перезапускает анализируемый образец
