Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Wow6432Node\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = 'userinit.exe,netste.exe'
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- seete.exe
- netste.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\msaro.exe
- %TEMP%\msaro.exe
- %WINDIR%\syswow64\wmsfeu.dll
- %WINDIR%\syswow64\smfelf.dll
- %TEMP%\seete.exe
- %WINDIR%\netste.exe
- %WINDIR%\netsci.dll
Удаляет следующие файлы
- %WINDIR%\syswow64\msaro.exe
- %TEMP%\seete.exe
Самоудаляется.
Сетевая активность
Подключается к
- '34.##9.100.209':443
TCP
Другие
- '34.##9.100.209':443
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\msaro.exe'
- '%TEMP%\msaro.exe'
- '%TEMP%\seete.exe'
- '%WINDIR%\netste.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c del <Полный путь к файлу> > nul (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del %WINDIR%\SysWOW64\msaro.exe > nul (со скрытым окном)
- '%ProgramFiles(x86)%\opera\launcher.exe' http://about:blank (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del %TEMP%\seete.exe > nul (со скрытым окном)
- '%TEMP%\seete.exe' (со скрытым окном)
