Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'WinHost32' = '<SYSTEM32>\WinHost32.exe'
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '%TEMP%\rp445.exe'
Запускает на исполнение (эксплоит)
- '%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 1464
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\winhost32.exe
следующие пользовательские процессы:
- rp445.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rp445.exe
- %WINDIR%\syswow64\winhost32.exe
- %TEMP%\955474.cvr
Удаляет следующие файлы
- %TEMP%\rp445.exe
Сетевая активность
Подключается к
- 'pk#.goog':80
- 'ap#.#pify.org':80
TCP
Запросы HTTP GET
- http://pk#.goog/gsr1/gsr1.crt
- http://ap#.#pify.org/
UDP
- DNS ASK pk#.goog
- DNS ASK ap#.#pify.org
- DNS ASK ty###orow.com
- DNS ASK so###lega.ru
- DNS ASK on####herthin.ru
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\winhost32.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' del %TEMP%\rp445.exe >> NUL
