Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\<Имя файла>.lnk
Вредоносные функции
Патчит код
в динамической библиотеке NTDLL
- Процесс bsmarmw.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\<Имя файла>\<Имя файла>.exe
- %TEMP%\wctk.dat
- <Текущая директория>\.wctg
- <Текущая директория>\.wctt_ok
- <Текущая директория>\.wctt_paths
Сетевая активность
Подключается к
- 'c.##l4.top':443
- 'x1.#.lencr.org':80
- 'ip##pi.com':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
- http://ip##pi.com/json/?fi######################
Другие
- 'c.##l4.top':443
UDP
- DNS ASK c.##l4.top
- DNS ASK x1.#.lencr.org
- DNS ASK ip##pi.com
Другое
Ищет следующие окна
- ClassName: 'ProcessExplorer64Class' WindowName: ''
- ClassName: 'ProcessExplorerClass' WindowName: ''
