Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'xmkkxnh' = '<LS_APPDATA>\wavbgw.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\unmst.exe
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- <LS_APPDATA>\wavbgw.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- <LS_APPDATA>\wavbgw.exe
- %HOMEPATH%\Start Menu\Programs\Startup\unmst.exe
Удаляет следующие файлы:
- <SYSTEM32>\PerfStringBackup.TMP
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
Сетевая активность:
Подключается к:
- '16#.#11.144.74':80
- '16#.#11.144.18':80
- '16#.#11.144.33':80
- '16#.#11.144.79':80
- '16#.#11.144.44':80
- '16#.#11.144.59':80
- '16#.#11.144.39':80
- '16#.#11.144.48':80
- '16#.#11.144.34':80
TCP:
Запросы HTTP POST:
- 16#.#11.144.74/home.php
- 16#.#11.144.18/home.php
- 16#.#11.144.33/home.php
- 16#.#11.144.79/home.php
- 16#.#11.144.44/home.php
- 16#.#11.144.59/home.php
- 16#.#11.144.39/home.php
- 16#.#11.144.48/home.php
- 16#.#11.144.34/home.php
UDP:
- DNS ASK ch##p.it
- DNS ASK ab##.com
- DNS ASK su#f.to
- DNS ASK al##rl.com
- DNS ASK ta.gg
- DNS ASK co##rl.com
- DNS ASK sh###urli.net
- DNS ASK bi#.ly
- DNS ASK di##.com
- DNS ASK sn#p.vu
- DNS ASK li###nti.com
- DNS ASK mo.by
- DNS ASK di##ig.com
- DNS ASK sh###urli.com
- DNS ASK bi###ink.com
- DNS ASK ba#n.me
- DNS ASK do##p.com
- DNS ASK cj#.net
- DNS ASK d0#.me
- DNS ASK it#o.ws
- DNS ASK wo#g.to
- DNS ASK b4##.net
- DNS ASK ye#.it
- DNS ASK re##r.ec
- DNS ASK ti###ong.com
- DNS ASK co##url.com
- DNS ASK go#.gl
- DNS ASK bu##url.com
- DNS ASK b2#.ru
- DNS ASK co.nr
- DNS ASK ar#.in
- DNS ASK be#m.to
- DNS ASK cl###url.com
- DNS ASK ti###rrows.com
- DNS ASK ti###url.com
- DNS ASK pr##ala.com
- DNS ASK aw#.sm
- DNS ASK bu##rl.com
- DNS ASK li###ala.com
- DNS ASK x.#u
- DNS ASK ti##url.com
- DNS ASK fh##l.com
- DNS ASK ti##link.ir
- DNS ASK ti###url.org
- DNS ASK ch####horturl.com
- DNS ASK di##url.com
- DNS ASK db##st.de
- DNS ASK aa##er.us
- DNS ASK ti##link.me
- DNS ASK ab##r.com
- DNS ASK it#.im
- DNS ASK is.gd
- DNS ASK su.pr
- DNS ASK de###turl.com
- DNS ASK un###rten.com
- DNS ASK a.#f
- DNS ASK ti###ink.com
- DNS ASK cl#.gs
- DNS ASK ho###orturl.com
- DNS ASK sh###link.se
- DNS ASK df#8.me
- DNS ASK ni##rl.com
- DNS ASK ff#.to
- DNS ASK yv#.me
- DNS ASK ti##link.in
- DNS ASK sh###urli.org
- DNS ASK yo##ls.org
- DNS ASK l9#.net
- DNS ASK ti#y.cc
- DNS ASK du#l.us
- DNS ASK a.#d
- DNS ASK bi##y.com
- DNS ASK sh###url.info
- DNS ASK ti###url.net
- DNS ASK sh###switch.com
- DNS ASK ah##f.in
- DNS ASK bl##t.me
- DNS ASK ca##rl.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
