Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Wote' = '"%APPDATA%\Avjeby\wote.exe"'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
Создает и запускает на исполнение:
- '%APPDATA%\Avjeby\wote.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\cscript.exe
- %WINDIR%\Explorer.EXE
- <SYSTEM32>\ctfmon.exe
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\XQP5B9A.bat
- <LS_APPDATA>\puxaw.bok
- %APPDATA%\Avjeby\wote.exe
Самоудаляется.
Сетевая активность:
UDP:
- '22#.#46.12.120':5548
- '75.##1.227.93':2199
- '68.##.161.147':7766
- '84.##.129.23':7605
- '20#.#1.13.114':6269
- '65.##.129.62':5017
- '84.##4.151.23':3646
- '72.##.241.201':1374
- '85.##8.176.32':9301
- '18#.#34.118.158':4252
- '11#.#8.179.100':2424
- '75.##.87.199':9865
- '92.#2.58.81':4275
- '18#.#6.106.10':2042
- '86.##0.215.141':9897
- '21#.#03.175.12':3159
- '68.##4.34.89':1024
- '86.##3.118.44':2106
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
