Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'EseNtUtl' = '%APPDATA%\esentutl.exe'
- [HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run] 'ClipSrv' = '%WINDIR%\clipsrv.exe'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Microsoft Connection Manager' = '%HOMEPATH%\Local Settings\Application Data\Microsoft\cmstp.exe'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WinInit' = '%ProgramFiles%\wininit.exe'
- [HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'load' = '%WINDIR%\dllhost.exe'
- [HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'run' = '<DRIVERS>\logman.exe'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'WinInit' = '%HOMEPATH%\Local Settings\Application Data\wininit.exe'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Logman' = '%HOMEPATH%\Local Settings\Application Data\logman.exe'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\twain002.mtx
- %APPDATA%\esentutl.exe
- %WINDIR%\clipsrv.exe
- %HOMEPATH%\local settings\application data\microsoft\cmstp.exe
- %ProgramFiles%\wininit.exe
- %WINDIR%\dllhost.exe
- %WINDIR%\syswow64\drivers\logman.exe
- %HOMEPATH%\local settings\application data\wininit.exe
- %HOMEPATH%\local settings\application data\logman.exe
Сетевая активность
Подключается к
- 'ms####nnecttest.com':80
TCP
Запросы HTTP GET
Другие
- '15#.#01.1.91':443
UDP
- DNS ASK ly###s-db.org
- DNS ASK ms####nnecttest.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\esentutl.exe' /c 99
- '%WINDIR%\clipsrv.exe' /c 17
- '%HOMEPATH%\local settings\application data\microsoft\cmstp.exe' /c 65
- '%ProgramFiles%\wininit.exe' \c 89
- '%WINDIR%\dllhost.exe' /c 7
- '%WINDIR%\syswow64\drivers\logman.exe' /c 90
- '%HOMEPATH%\local settings\application data\wininit.exe' /c 1
- '%HOMEPATH%\local settings\application data\logman.exe' /c 51
- '%APPDATA%\esentutl.exe' /c 77
- '%APPDATA%\esentutl.exe' /r
- '%APPDATA%\esentutl.exe' /c 2
- '%WINDIR%\clipsrv.exe' /c 13
- '%HOMEPATH%\local settings\application data\microsoft\cmstp.exe' /c 20
- '%ProgramFiles%\wininit.exe' \c 11
- '%WINDIR%\dllhost.exe' /c 81
- '%WINDIR%\syswow64\drivers\logman.exe' /c 83
- '%HOMEPATH%\local settings\application data\wininit.exe' /c 62
- '%HOMEPATH%\local settings\application data\logman.exe' /c 12
Запускает на исполнение
- '%APPDATA%\esentutl.exe' /c 99 (со скрытым окном)
- '%WINDIR%\clipsrv.exe' /c 17 (со скрытым окном)
- '%HOMEPATH%\local settings\application data\microsoft\cmstp.exe' /c 65 (со скрытым окном)
- '%ProgramFiles%\wininit.exe' \c 89 (со скрытым окном)
- '%WINDIR%\dllhost.exe' /c 7 (со скрытым окном)
- '%WINDIR%\syswow64\drivers\logman.exe' /c 90 (со скрытым окном)
- '%HOMEPATH%\local settings\application data\wininit.exe' /c 1 (со скрытым окном)
- '%HOMEPATH%\local settings\application data\logman.exe' /c 51 (со скрытым окном)
- '%APPDATA%\esentutl.exe' /c 77 (со скрытым окном)
- '%APPDATA%\esentutl.exe' /r (со скрытым окном)
- '%APPDATA%\esentutl.exe' /c 2 (со скрытым окном)
- '%WINDIR%\clipsrv.exe' /c 13 (со скрытым окном)
- '%HOMEPATH%\local settings\application data\microsoft\cmstp.exe' /c 20 (со скрытым окном)
- '%ProgramFiles%\wininit.exe' \c 11 (со скрытым окном)
- '%WINDIR%\dllhost.exe' /c 81 (со скрытым окном)
- '%WINDIR%\syswow64\drivers\logman.exe' /c 83 (со скрытым окном)
- '%HOMEPATH%\local settings\application data\wininit.exe' /c 62 (со скрытым окном)
- '%HOMEPATH%\local settings\application data\logman.exe' /c 12 (со скрытым окном)
