Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework64\v4.0.30319\servicemodelreg.exe
- %WINDIR%\syswow64\rmclient.exe
Изменения в файловой системе
Создает следующие файлы
- conout$
Сетевая активность
Подключается к
- 'bi#####a.duckdns.org':6939
- 'ge###ugin.net':80
TCP
Запросы HTTP GET
- http://ge###ugin.net/json.gp
Другие
- 'bi#####a.duckdns.org':6939
UDP
- DNS ASK bi#####a.duckdns.org
- DNS ASK ge###ugin.net
Другое
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\servicemodelreg.exe'
- '%WINDIR%\syswow64\sc.exe' /stext "%TEMP%\gwhieyyabyy"
- '%WINDIR%\syswow64\sc.exe' /stext "%TEMP%\qymtfrjcpgqpvzw"
- '%WINDIR%\syswow64\sc.exe' /stext "%TEMP%\asrlfbuvloiuyfspnm"
