Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\WMCSC] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '<SYSTEM32>\icmsvc\icmsvc.exe' -r
Скрывает следующие процессы:
- <SYSTEM32>\icmsvc\icmsvc.exe
Изменения в файловой системе:
Создает следующие файлы:
- <SYSTEM32>\icmsvc\icmsvc.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <SYSTEM32>\icmsvc\icmsvc.exe
Сетевая активность:
Подключается к:
- 'wh#####yipaddress.com':80
- 'na.to':80
- 'www.ip###ress.com':80
- 'en.##race.de':80
- 'ip######ss-lookup-v4.com':80
- 'www.re##70.com':80
- 'www.ip###fig.co.kr':80
- 'ip####is-lookup.com':80
- 'www.if###fig.co.kr':80
- 'www.cl####aver.co.kr':80
- 'ip######ss.domaintools.com':80
TCP:
Запросы HTTP GET:
- wh#####yipaddress.com/
- na.to/ip/?mo#############
- www.ip###ress.com/
- en.##race.de/
- ip######ss-lookup-v4.com/
- www.re##70.com/
- www.ip###fig.co.kr/
- ip####is-lookup.com/
- www.if###fig.co.kr/
- www.cl####aver.co.kr/
- ip######ss.domaintools.com/myip.xml
UDP:
- DNS ASK wh#####yipaddress.com
- DNS ASK na.to
- DNS ASK www.re##70.com
- DNS ASK en.##race.de
- DNS ASK ip######ss-lookup-v4.com
- DNS ASK www.ip###ress.com
- DNS ASK www.ip###fig.co.kr
- DNS ASK www.fi##ip.kr
- DNS ASK ip####is-lookup.com
- DNS ASK www.cl####aver.co.kr
- DNS ASK ip######ss.domaintools.com
- DNS ASK www.if###fig.co.kr
