Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\WHDMIDE] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%PROGRAM_FILES%\Google\Chrome\Application\Chrome.txt' MZђ
- '%PROGRAM_FILES%\Google\Chrome\Application\Chrome.txt' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
- '<SYSTEM32>\taskkill.exe' /f /im Chrome.txt
- '<SYSTEM32>\taskkill.exe' /f /im LMS.dat
Изменения в файловой системе:
Создает следующие файлы:
- %PROGRAM_FILES%\Hardware Driver Management\id.txt
- %PROGRAM_FILES%\Hardware Driver Management\history.txt
- %PROGRAM_FILES%\Google\Chrome\Application\Chrome.txt
Самоперемещается:
- из <Полный путь к вирусу> в %PROGRAM_FILES%\Hardware Driver Management\windriver.exe
Сетевая активность:
Подключается к:
- 'ic###azip.com':80
- 'mi##.#xpanel.com':80
TCP:
Запросы HTTP GET:
- mi##.#xpanel.com/86
- ic###azip.com/
- mi##.#xpanel.com/report?ha##############################################################################################################################################################################
- mi##.#xpanel.com/install/start
- mi##.#xpanel.com/install/106:0%20-%3e%20127:2%20-%3e%2065:0%20-%3e%2067:0%20-%3e%2080:0%20-%3e%2081:0%20-%3e%2082:0%20-%3e%2094:0%20-%3e%2095:0
- mi##.#xpanel.com/line.txt
UDP:
- DNS ASK ic###azip.com
- DNS ASK mi##.#xpanel.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
