Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'taskngr' = '%APPDATA%\taskngr\taskngr.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\taskngr\UFASoft.exe' /pid=3264
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6480
- '%APPDATA%\taskngr\UFASoft.exe' /pid=3164
- '%APPDATA%\taskngr\UFASoft.exe' /pid=3004
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6080
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6440
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6320
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6620
- '%APPDATA%\taskngr\UFASoft.exe' /pid=4236
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6636
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7920
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7440
- '%APPDATA%\taskngr\UFASoft.exe' /pid=5128
- '%APPDATA%\taskngr\UFASoft.exe' /pid=4568
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6576
- '%APPDATA%\taskngr\UFASoft.exe' /pid=5632
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7196
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7016
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7376
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7604
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7056
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6896
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7316
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6876
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6564
- '%APPDATA%\taskngr\UFASoft.exe' /pid=4836
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6200
- '%APPDATA%\taskngr\UFASoft.exe' /pid=8156
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7516
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7620
- '%APPDATA%\taskngr\UFASoft.exe' /pid=8096
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7844
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6400
- '%APPDATA%\taskngr\UFASoft.exe' /pid=1388
- '%APPDATA%\taskngr\UFASoft.exe' /pid=988
- '%APPDATA%\taskngr\UFASoft.exe' /pid=5068
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6156
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7264
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7616
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7184
- '%APPDATA%\taskngr\UFASoft.exe' /pid=5572
- '%APPDATA%\taskngr\UFASoft.exe' /pid=5760
- '%APPDATA%\taskngr\UFASoft.exe' /pid=5400
- '%APPDATA%\taskngr\UFASoft.exe' /pid=5228
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7980
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7120
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7944
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7084
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6160
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6524
- '%APPDATA%\taskngr\UFASoft.exe' /pid=3084
- '%APPDATA%\taskngr\UFASoft.exe' /pid=2068
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7744
- '%APPDATA%\taskngr\UFASoft.exe' /pid=5700
- '%APPDATA%\taskngr\UFASoft.exe' /pid=8056
- '%APPDATA%\taskngr\UFASoft.exe' /pid=8184
- '%APPDATA%\taskngr\UFASoft.exe' /pid=2972
- '%APPDATA%\taskngr\UFASoft.exe' /pid=3984
- '%APPDATA%\taskngr\UFASoft.exe' /pid=5672
- '%APPDATA%\taskngr\UFASoft.exe' /pid=1480
- '%APPDATA%\taskngr\UFASoft.exe' /pid=3472
- '%APPDATA%\taskngr\UFASoft.exe' /pid=5580
- '%APPDATA%\taskngr\UFASoft.exe' /pid=3504
- '%APPDATA%\taskngr\UFASoft.exe' /pid=3884
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6436
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6300
- '%APPDATA%\taskngr\UFASoft.exe' /pid=2824
- '%APPDATA%\taskngr\UFASoft.exe' /pid=5216
- '%APPDATA%\taskngr\UFASoft.exe' /pid=5480
- '%APPDATA%\taskngr\UFASoft.exe' /pid=5780
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6500
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6340
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6656
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7136
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7300
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7296
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7000
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6880
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6860
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7100
- '%APPDATA%\taskngr\UFASoft.exe' /pid=5980
- '%APPDATA%\taskngr\UFASoft.exe' /pid=5016
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6220
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6600
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6560
- '%APPDATA%\taskngr\UFASoft.exe' -a sha256 -g no -o http://av#####.25u.com:8332 -u aviatic.worker -p 123456 -t 1
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6644
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6280
- '%APPDATA%\taskngr\UFASoft.exe' /pid=4416
- '%APPDATA%\taskngr\UFASoft.exe' /pid=3312
- '%APPDATA%\taskngr\UFASoft.exe' /pid=2528
- '%APPDATA%\taskngr\UFASoft.exe' /pid=312
- '%APPDATA%\taskngr\UFASoft.exe' /pid=3212
- '%APPDATA%\taskngr\UFASoft.exe' /pid=4316
- '%APPDATA%\taskngr\UFASoft.exe' /pid=4216
- '%APPDATA%\taskngr\UFASoft.exe' /pid=3712
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6704
- '%APPDATA%\taskngr\UFASoft.exe' /pid=5380
- '%APPDATA%\taskngr\UFASoft.exe' /pid=3784
- '%APPDATA%\taskngr\UFASoft.exe' /pid=3384
- '%APPDATA%\taskngr\UFASoft.exe' /pid=2748
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6240
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6744
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6360
- '%APPDATA%\taskngr\UFASoft.exe' /pid=3112
- '%APPDATA%\taskngr\UFASoft.exe' /pid=5952
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6256
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6356
- '%APPDATA%\taskngr\UFASoft.exe' /pid=4128
- '%APPDATA%\taskngr\UFASoft.exe' /pid=2404
- '%APPDATA%\taskngr\UFASoft.exe' /pid=4948
- '%APPDATA%\taskngr\UFASoft.exe' /pid=4728
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7840
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7700
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7960
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7896
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7476
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7460
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7636
- '%APPDATA%\taskngr\UFASoft.exe' /pid=7540
- '%APPDATA%\taskngr\UFASoft.exe' /pid=4716
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6344
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6260
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6624
- '%APPDATA%\taskngr\UFASoft.exe' /pid=8140
- '%APPDATA%\taskngr\UFASoft.exe' /pid=8076
- '%APPDATA%\taskngr\UFASoft.exe' /pid=6244
- '<SYSTEM32>\cmd.exe' (загружен из сети Интернет)
- '%APPDATA%\taskngr\UFASoft.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' -s -h %APPDATA%\taskngr
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\taskngr\phatk.cl
- %APPDATA%\taskngr\miner.dll
- %APPDATA%\taskngr\usft_ext.dll
- %APPDATA%\taskngr\phatk.ptx
- %APPDATA%\taskngr\coinutil.dll
- %APPDATA%\taskngr\bdb.dll
- %APPDATA%\taskngr\UFASoft.exe
- %APPDATA%\taskngr\btc-evergreen.il
- %APPDATA%\taskngr\btc.il
Самоперемещается:
- из <Полный путь к вирусу> в %APPDATA%\taskngr\taskngr.exe
Сетевая активность:
Подключается к:
- '19#.#0.57.179':80
- 'wp#d':80
TCP:
Запросы HTTP GET:
- 19#.#0.57.179/sov1001/miner.dll
- 19#.#0.57.179/sov1001/coinutil.dll
- 19#.#0.57.179/sov1001/phatk.cl
- 19#.#0.57.179/sov1001/usft_ext.dll
- 19#.#0.57.179/sov1001/phatk.ptx
- 19#.#0.57.179/sov1001/coin-miner.exe
- wp#d/wpad.dat
- 19#.#0.57.179/sov1001/bdb.dll
- 19#.#0.57.179/sov1001/btc-evergreen.il
- 19#.#0.57.179/sov1001/btc.il
UDP:
- DNS ASK wp#d
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
