Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\getggin_x86.exe'
- 'C:\getggin_list.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\t.bat" "
Без разрешения пользователя устанавливает новую стартовую страницу для Windows Internet Explorer.
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\ERwin\hybrid.org
- %PROGRAM_FILES%\ERwin\UOMhIEXTWn.sys
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\ec702f375e1b12d218f67ab9ef19ca23_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %TEMP%\t.bat
- %PROGRAM_FILES%\ERwin\loadhybrid.exe
- %PROGRAM_FILES%\ERwin\hybridapp.exe
- %PROGRAM_FILES%\ERwin\rYIOqHWdoa.org
- C:\getggin_x86.exe
- C:\getggin_list.exe
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\c91b5a2c-8f9c-4a84-914b-346a6ef1a81a
Удаляет следующие файлы:
- %PROGRAM_FILES%\ERwin\hybridapp.exe
- %PROGRAM_FILES%\ERwin\loadhybrid.exe
- C:\getggin_list.exe
- %PROGRAM_FILES%\ERwin\rYIOqHWdoa.org
- %PROGRAM_FILES%\ERwin\UOMhIEXTWn.sys
- %PROGRAM_FILES%\ERwin\hybrid.org
Сетевая активность:
Подключается к:
- '11#.36.4.11':80
TCP:
Запросы HTTP GET:
- 11#.36.4.11/input.do?ho#####################
