Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Project1' = '%APPDATA%\fpslfq\Project1.exe'
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\vwOaAR.exe' FPsLfq
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\fpslfq\KrKBfs.vbs
- %APPDATA%\fpslfq\BZfQAT.txt
- %APPDATA%\fpslfq\vwOaAR.exe
- %APPDATA%\fpslfq\FPsLfq
- %APPDATA%\fpslfq\2.txt
- %APPDATA%\fpslfq\1.txt
- %APPDATA%\fpslfq\Project1.exe
- %TEMP%\aut2.tmp
- %TEMP%\vwOaAR.exe
- %TEMP%\aut1.tmp
- %TEMP%\BZfQAT.txt
- %TEMP%\Svchost.exe
- %TEMP%\FPsLfq
- %TEMP%\aut3.tmp
Удаляет следующие файлы:
- %TEMP%\FPsLfq
- %TEMP%\BZfQAT.txt
- %TEMP%\Svchost.exe
- %TEMP%\aut1.tmp
- %TEMP%\aut2.tmp
- %TEMP%\aut3.tmp
Перемещает следующие файлы:
- %TEMP%\vwOaAR.exe в %TEMP%\vwOaAR.exe
Сетевая активность:
Подключается к:
- 'www.dr##box.com':443
- 'fc######ectado2015.ddns.net':139
- 'fc######ectado2015.ddns.net':445
- 'localhost':1038
- 'fc#########ado2015.ddns.net\SQLEXPRESS':1433
UDP:
- DNS ASK fc#########ado2015.ddns.net\SQLEXPRESS
- DNS ASK www.dr##box.com
- DNS ASK fc######ectado2015.ddns.net
- 'fc######ectado2015.ddns.net':1434
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
