Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WinSesp' = '%APPDATA%\Win_32199\<Имя файла>.exe'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
добавляет исключения антивируса:
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath '%APPDATA%\Win_32199\<Имя файла>.exe'"
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\att.txt
- %APPDATA%\win_32199\<Имя файла>.exe
Сетевая активность
Подключается к
- 'ap###.ipify.org':80
- '15#.#05.156.20':80
- 'ad##lbb.org':55417
TCP
Запросы HTTP GET
- http://ap###.ipify.org/?fo#########
- http://15#.#05.156.20/Painel/atualizar_dados.php?no##############################################################################################################################################...
Другие
- 'ad##lbb.org':55417
UDP
- DNS ASK ap###.ipify.org
- DNS ASK ad##lbb.org
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c powershell -Command "Add-MpPreference -ExclusionPath '%APPDATA%\Win_32199\<Имя файла>.exe'" (со скрытым окном)
