Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\winrar.url
- %APPDATA%\microsoft\windows\start menu\programs\startupwinrar.url
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- jsc.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\informationcheck.exe
- C:\users\public\details.html
- %LOCALAPPDATA%\wordgenius technologies\g
- %LOCALAPPDATA%\wordgenius technologies\swiftwrite.pif
- %LOCALAPPDATA%\wordgenius technologies\swiftwrite.js
- C:\users\public\jsc.exe
Сетевая активность
Подключается к
- 'cl###cloud.in':443
- 'x1.#.lencr.org':80
- 'r1#.#.lencr.org':80
- '46.##1.182.205':6606
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
- http://r1#.#.lencr.org/112.crl
Другие
- 'cl###cloud.in':443
- '46.##1.182.205':6606
UDP
- DNS ASK cl###cloud.in
- DNS ASK x1.#.lencr.org
- DNS ASK r1#.#.lencr.org
- DNS ASK nb##############bvvLMhHdgigs.nbhkmKSQnaDrIkubbvvLMhHdgigs
Другое
Создает и запускает на исполнение
- 'C:\users\public\informationcheck.exe' "C:\Users\Public\Details.html"
- 'C:\users\public\jsc.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /k echo [InternetShortcut] > "%APPDATA%\Microsoft\Windows\Start Menu\Programs\StartupWinrar.url" & echo URL="%LOCALAPPDATA%\WordGenius Technologies\SwiftWrite.js" >> "%APPDATA%\Microsoft\Window...
- 'C:\users\public\informationcheck.exe' "C:\Users\Public\Details.html" (со скрытым окном)
