Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\services\WsysSvc] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\ProgramData\eSafe\<Имя вируса>.exe'
- 'C:\ProgramData\eSafe\<Имя вируса>.exe' -run
Запускает на исполнение:
- '<SYSTEM32>\wermgr.exe' -queuereporting
- '<SYSTEM32>\taskhost.exe' $(Arg0)
Изменения в файловой системе:
Создает следующие файлы:
- C:\ProgramData\Microsoft\RAC\Temp\sql8516.tmp
- C:\ProgramData\Microsoft\RAC\Temp\sqlC5CE.tmp
- C:\ProgramData\Microsoft\RAC\Temp\sqlC5EE.tmp
- C:\ProgramData\Microsoft\RAC\Temp\sql8536.tmp
- C:\ProgramData\eSafe\<Имя вируса>.exe
- C:\ProgramData\eSafe\log\<Имя вируса>.LOG
Удаляет следующие файлы:
- C:\ProgramData\Microsoft\RAC\Temp\sql8516.tmp
- C:\ProgramData\Microsoft\RAC\Temp\sql8536.tmp
Сетевая активность:
Подключается к:
- 'up.##ft365.com':80
- 'xa.###gcloud.com':80
TCP:
Запросы HTTP GET:
- xa.###gcloud.com/v4/sof-newgdp/fdaad129-04df-4089-bb80-174ce725f721_3ACF1CC3?ac##############################################################
- xa.###gcloud.com/v4/sof-newgdp/fdaad129-04df-4089-bb80-174ce725f721_3ACF1CC3?ac####################################################################
- xa.###gcloud.com/v4/sof-newgdp/fdaad129-04df-4089-bb80-174ce725f721_3ACF1CC3?ac###################################################################################################
- up.##ft365.com/gdp/softupdate?pt######################################################################################
UDP:
- DNS ASK up.##ft365.com
- DNS ASK xa.###gcloud.com
