Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\software\microsoft\windows\currentversion\run] 'IntelPowerAgent4' = 'rundll32.exe shell32.dll, ShellExec_RunDLL C:\PROGRA~3\2HH8B2~1.EXE'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\icardagt.exe
- %WINDIR%\syswow64\cmd.exe
- %WINDIR%\syswow64\attrib.exe
следующие пользовательские процессы:
- iexplore.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\syswow64\icardagt.exe
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\2hh8b2h0d2.exe
- %TEMP%\3492473cd35c8bdceed8
- %LOCALAPPDATA%\ntccb84.tmp.bat
Удаляет следующие файлы
- %TEMP%\3492473cd35c8bdceed8
Сетевая активность
Подключается к
- 'co##############e-chains.prod.autograph.services.mozaws.net':443
UDP
- DNS ASK co##############e-chains.prod.autograph.services.mozaws.net
- DNS ASK eb####tazce-ru.com
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\icardagt.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%LOCALAPPDATA%\ntcCB84.tmp.bat" "<Полный путь к файлу>"" (со скрытым окном)
- '%WINDIR%\syswow64\attrib.exe' -r -s -h "<Полный путь к файлу>"
