Техническая информация
Вредоносные функции
Патчит код
в динамической библиотеке NTDLL
- Процесс eywnxf.exe, модуль ntdll.dll
Сетевая активность
Подключается к
- 'cd#.#qb3.com':80
- 'ap##.#ame.qq.com':80
- 'sp#.#aidu.com':443
- 'localhost':80
- 'si##.ip138.com':443
- 'cr##.ssl.com':80
- 'oc###.ssl.com':80
- 'ip.cn':443
TCP
Запросы HTTP GET
- http://ap##.#ame.qq.com/comm-htdocs/ip/get_ip.php
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?4e##############
- http://cr##.ssl.com/SSL.com-TLS-T-RSA-R2.crl
- http://oc###.ssl.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBRol6xHh8ldmySlh2itDqBK5l5cpAQUF9nT8tBp6B43t%2FlWOgfmKdOVW5ECEEyNSY87VCOiDh5I7acToH0%3D
Другие
- 'sp#.#aidu.com':443
- 'si##.ip138.com':443
- 'ip.cn':443
UDP
- DNS ASK cd#.#qb3.com
- DNS ASK ap##.#ame.qq.com
- DNS ASK sp#.#aidu.com
- DNS ASK cd#.#uilet.com
- DNS ASK cd#.#ackow.com
- DNS ASK ex###e.dmctr.cn
- DNS ASK 81######c7ac0cfc.gazigz.cn
- DNS ASK 58.###mon.gazigz.cn
- DNS ASK si##.ip138.com
- DNS ASK cr##.ssl.com
- DNS ASK oc###.ssl.com
- DNS ASK ip.cn
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c del /Q /F "<Полный путь к файлу>" (со скрытым окном)
