Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
- %WINDIR%\syswow64\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\temp\8mqmh.exe
- %WINDIR%\temp\9uego.exe
- %WINDIR%\temp\svchost.exe
- %WINDIR%\syswow64\lz_scby.txt
- %WINDIR%\e9b125\4b9bf53a4dd16b63f8ac90af41585425
- %WINDIR%\e9b125\nj344uo.dll
- %WINDIR%\e9b125\b1gppk5.exe
- %LOCALAPPDATA%\zr40r.dat
- C:\p2pv221541.log
- nul
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\syswow64\lz_scby.txt
- %LOCALAPPDATA%\zr40r.dat
Удаляет следующие файлы
- %WINDIR%\e9b125\b1gppk5.exe
- %WINDIR%\e9b125\4b9bf53a4dd16b63f8ac90af41585425
- %WINDIR%\e9b125\nj344uo.dll
- %WINDIR%\temp\8mqmh.exe
Сетевая активность
UDP
- DNS ASK ap#.ac13.pw
- DNS ASK ba##u.com
- DNS ASK np##.#oomeng.com
- DNS ASK np##.inibin.com
- DNS ASK np##.inixz.com
- DNS ASK np##.#ownini.com
- DNS ASK np##.#nidown.com
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\temp\svchost.exe'
- '%WINDIR%\temp\9uego.exe'
- '%WINDIR%\temp\8mqmh.exe'
- '%WINDIR%\e9b125\b1gppk5.exe' /runp2p:C:/Windows/e9b125/nJ344Uo.dll
Запускает на исполнение
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%WINDIR%\explorer.exe"
- '%WINDIR%\syswow64\cmd.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 5 >nul&del/f/s/q "%WINDIR%\temp\8mQMH.exe" (со скрытым окном)
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 5
