Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost2.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\Software\Google\Google Talk\Accounts]
- [HKCU\Software\Paltalk]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
обнаружения различных программ и игр:
- ClassName: 'gdkWindowToplevel', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\services.exe
- %TEMP%\keygen.exe
- %WINDIR%\syswow64\svchost2.exe
- %APPDATA%\chrtmp
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\syswow64\svchost2.exe
Сетевая активность
UDP
- DNS ASK in#####to.shacknet.nu
Другое
Создает и запускает на исполнение
- '%TEMP%\services.exe'
- '%TEMP%\keygen.exe'
- '%WINDIR%\syswow64\svchost2.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c timeout 5 && del %WINDIR%\SysWOW64\svchost2.exe (со скрытым окном)
- '%WINDIR%\syswow64\timeout.exe' 5
