Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'SystemUpdateHelper' = '<SYSTEM32>\svchost.exe'
Вредоносные функции
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- nul
- %APPDATA%\svchost.exe
- %APPDATA%\gsta6ges.txt
- %HOMEPATH%\documents\screenshot_68806.png
- %HOMEPATH%\downloads\image_87272.png
- %ALLUSERSPROFILE%\photo_57719.png
- %APPDATA%\picture_33726.png
- %HOMEPATH%\pictures\capture_49357.png
- %HOMEPATH%\downloads\img_77632.png
- %TEMP%\snapshot_24720.png
- %HOMEPATH%\downloads\shot_50678.png
- %APPDATA%\wallpaper_86734.png
- %TEMP%\background_33199.png
Сетевая активность
Подключается к
- '18#.#14.96.3':443
- 'ta##co.vip':443
TCP
Запросы HTTP GET
- http://127.0.0.1/config.bin
Запросы HTTP POST
- http://ta##co.vip/
UDP
- DNS ASK ap#.#pify.org
- DNS ASK ch#####.amazonaws.com
- DNS ASK ic###azip.com
- DNS ASK wt###myip.com
- DNS ASK ta##co.vip
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c wmic computersystem get model,manufacturer /format:csv > nul 2>&1
- '<SYSTEM32>\wbem\wmic.exe' computersystem get model,manufacturer /format:csv
- '<SYSTEM32>\cmd.exe' /c wmic bios get serialnumber /format:csv > nul 2>&1
- '<SYSTEM32>\wbem\wmic.exe' bios get serialnumber /format:csv
- '<SYSTEM32>\cmd.exe' /c wmic os get caption,version /format:csv > nul 2>&1
- '<SYSTEM32>\wbem\wmic.exe' os get caption,version /format:csv
- '<SYSTEM32>\cmd.exe' /c dir "%HOMEPATH%\Desktop" /B > nul 2>&1
- '<SYSTEM32>\cmd.exe' /c dir "%HOMEPATH%\Documents" /B > nul 2>&1
- '<SYSTEM32>\cmd.exe' /c dir "%HOMEPATH%\Downloads" /B > nul 2>&1
- '<SYSTEM32>\cmd.exe' /c ipconfig /all > nul 2>&1
- '<SYSTEM32>\ipconfig.exe' /all
- '<SYSTEM32>\cmd.exe' /c arp -a > nul 2>&1
- '<SYSTEM32>\arp.exe' -a
- '<SYSTEM32>\cmd.exe' /c netstat -ano > nul 2>&1
- '<SYSTEM32>\netstat.exe' -ano
