Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\aspnet_wp.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\f5ef2df66835b9b1f8e1f9a6df3397a3\msvcp290.dll
- %TEMP%\f5ef2df66835b9b1f8e1f9a6df3397a3\nasrallah_x86.dll
- %TEMP%\f5ef2df66835b9b1f8e1f9a6df3397a3\rty.exe
- %TEMP%\f5ef2df66835b9b1f8e1f9a6df3397a3\tier0_s64.dll
- %TEMP%\f5ef2df66835b9b1f8e1f9a6df3397a3\vcruntime210.dll
- %TEMP%\f5ef2df66835b9b1f8e1f9a6df3397a3\vstdlib_s64.dll
Сетевая активность
Подключается к
- 't.#e':443
- 'e.#.###maxprime.co.uk':443
- 'x1.#.lencr.org':80
- 'e6.#.lencr.org':80
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/CABD2A79A1076A31F21D253635CB039D4329A5E8.crt?6c##############
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?0f##############
- http://x1.#.lencr.org/
- http://e6.#.lencr.org/52.crl
Другие
- 't.#e':443
- 'e.#.###maxprime.co.uk':443
UDP
- DNS ASK t.#e
- DNS ASK e.#.###maxprime.co.uk
- DNS ASK x1.#.lencr.org
- DNS ASK e6.#.lencr.org
Другое
Создает и запускает на исполнение
- '%TEMP%\f5ef2df66835b9b1f8e1f9a6df3397a3\rty.exe'
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\aspnet_wp.exe'
- '%TEMP%\f5ef2df66835b9b1f8e1f9a6df3397a3\rty.exe' (со скрытым окном)
