Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe' %TEMP%\sqhxrib\sprxynt\wow.dll,0
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Microsoft\SystemCertificates\My\Certificates\891E36BE64009DFB9F3E4E8F7DE4AE20C5D4F364
- %APPDATA%\Microsoft\Crypto\RSA\S-1-5-21-2052111302-484763869-725345543-1003\63cae233289379aea5f00e39b9c86dab_23ef5514-3059-436f-a4a7-4cefaab20eb1
- %TEMP%\sqhxrib\sprxynt\wow.ini
- %TEMP%\sqhxrib\sprxynt\wow.dll
- C:\System Volume Information\EFS0.LOG
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\Preferred
- %APPDATA%\Microsoft\Protect\S-1-5-21-2052111302-484763869-725345543-1003\cae7cff6-5fbe-49fe-a8d7-2a0c9e4fbf46
Удаляет следующие файлы:
- C:\System Volume Information\EFS0.LOG
Сетевая активность:
Подключается к:
- '14#.#6.39.220':80
TCP:
Запросы HTTP GET:
- 14#.#6.39.220/kkUM.php?lo######################################################################################################
