Техническая информация
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- yy.exe
Изменения в файловой системе
Создает следующие файлы
- <Полный путь к файлу>{73c122f2-b727-4d93-a90b-24b370bd1040}
- <Текущая директория>\rcx32b5.tmp
- <Текущая директория>\yy.exe
Присваивает атрибут 'скрытый' для следующих файлов
- <Текущая директория>\yy.exe
Удаляет файлы, которые сам же создал
- <Полный путь к файлу>{73c122f2-b727-4d93-a90b-24b370bd1040}
Перемещает следующие файлы
- <Текущая директория>\rcx32b5.tmp в <Полный путь к файлу>{73c122f2-b727-4d93-a90b-24b370bd1040}
Подменяет следующие исполняемые файлы
- <Полный путь к файлу>
Самоперемещается
- из <Полный путь к файлу> в %TEMP%\_@32a4.tmp
Сетевая активность
Подключается к
- 'pi##iuwu.cn':80
- 'mo#####.map.fastly.net':443
- 'co##############e-chains.prod.autograph.services.mozaws.net':443
TCP
Запросы HTTP GET
- http://pi##iuwu.cn/yyroom1.txt
UDP
- DNS ASK yy##l.com
- DNS ASK pi##iuwu.cn
- DNS ASK mo#####.map.fastly.net
- DNS ASK co##############e-chains.prod.autograph.services.mozaws.net
Другое
Создает и запускает на исполнение
- '<Текущая директория>\yy.exe'
