Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] '6f60f2e9dbc024a14907d8e9bd43d827' = '"%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe" ..'
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '6f60f2e9dbc024a14907d8e9bd43d827' = '"%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe" ..'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\locationnotificationwindows.lnk
- %APPDATA%\microsoft\windows\start menu\programs\startup\6f60f2e9dbc024a14907d8e9bd43d827.exe
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe" "RegSvcs.exe" ENABLE
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v2.0.50727\regsvcs.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v2.0.50727\regsvcs.exe
Изменения в файловой системе
Создает следующие файлы
- C:\ctmmzooxdutc\locationnotificationwindows\rtlupd64.exe
Сетевая активность
Подключается к
- 'ka######1089.duckdns.org':1089
TCP
Другие
- 'ka######1089.duckdns.org':1089
UDP
- DNS ASK ka######1089.duckdns.org
Другое
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v2.0.50727\regsvcs.exe'
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegSvcs.exe" "RegSvcs.exe" ENABLE (со скрытым окном)
