Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'd46656e8e7de092cfe266ea0e559dc73' = '"%TEMP%\system32.exe" ..'
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'd46656e8e7de092cfe266ea0e559dc73' = '"%TEMP%\system32.exe" ..'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%TEMP%\system32.exe" "system32.exe" ENABLE
Внедряет код в
следующие пользовательские процессы:
- cipher.exe
- system32.exe
Изменения в файловой системе
Создает следующие файлы
- C:\cipher.exe
- %TEMP%\system32.exe
Сетевая активность
UDP
- DNS ASK he####d.no-ip.biz
Другое
Создает и запускает на исполнение
- 'C:\cipher.exe'
- '%TEMP%\system32.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%TEMP%\system32.exe" "system32.exe" ENABLE (со скрытым окном)
