Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\dllhost.exe
следующие пользовательские процессы:
- setup_wm.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\sdszfo.docx
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
Сетевая активность
Подключается к
- '17#.#3.172.2':8848
- '17#.#3.172.2':44231
TCP
Другие
- '17#.#3.172.2':8848
- '17#.#3.172.2':44231
UDP
- DNS ASK nt##.##t.berkeley.edu
- DNS ASK gb##.ntp.se
- DNS ASK x.##.#in.ntt.net
- DNS ASK ti##.#loudflare.com
- DNS ASK nt#.nict.jp
- DNS ASK ti##.#acebook.com
- DNS ASK ti####-g.nist.gov
- 'nt##.##t.berkeley.edu':123
- 'ti####-g.nist.gov':123
- 'nt#.nict.jp':123
- 'ti##.#acebook.com':123
- 'time.windows.com':123
- 'x.##.#in.ntt.net':123
- 'ti##.#loudflare.com':123
- 'gb##.ntp.se':123
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: 'TeamViewer'
Запускает на исполнение
- '%ProgramFiles%\windows media player\setup_wm.exe'
- '<SYSTEM32>\dllhost.exe'
