Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'Update' = '%APPDATA%\<Имя файла>.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\<Имя файла>.exe
Самоудаляется.
Сетевая активность
Подключается к
- 'ip###dress.org':80
- '18#.#2.238.156':80
- '17#.#22.73.76':80
TCP
Запросы HTTP GET
- http://www.ip###dress.org/ip-checker.php
UDP
- DNS ASK ip###dress.org
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'Program Manager'
Запускает на исполнение
- '%WINDIR%\syswow64\svchost.exe'
- '%WINDIR%\syswow64\cmd.exe' /q /c for /l %i in (1, 1, 4000000000) do if not exist "<Полный путь к файлу>" (exit) else (del /f "<Полный путь к файлу>") (со скрытым окном)
