Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '678d503' = '%APPDATA%\678d503.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '678d50' = 'C:\678d503\678d503.exe'
Создает или изменяет следующие файлы:
- %HOMEPATH%\Start Menu\Programs\Startup\678d503.exe
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
Запускает на исполнение:
- '<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
- '<SYSTEM32>\svchost.exe' netsvcs
- '%WINDIR%\explorer.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\678d503.exe
- C:\678d503\678d503.exe
Сетевая активность:
Подключается к:
- 'us####hgitler.com':80
- 'us####ayswar.com':80
- 'ad###forua.com':80
- 'po#####nkogitler.com':80
- 'gi###rluvua.com':80
TCP:
Запросы HTTP POST:
- http://ad###forua.com/ai1waewernb
- http://us####hgitler.com/ai1waewernb
- http://po#####nkogitler.com/ai1waewernb
- http://gi###rluvua.com/ai1waewernb
- http://gi###rluvua.com/mfsa45p32t
- http://ad###forua.com/mfsa45p32t
- http://us####ayswar.com/ai1waewernb
- http://po#####nkogitler.com/mfsa45p32t
- http://us####ayswar.com/lswxwkl8ou
- http://po#####nkogitler.com/vzm50m066us8
- http://ad###forua.com/lswxwkl8ou
- http://us####hgitler.com/lswxwkl8ou
- http://us####hgitler.com/vzm50m066us8
- http://us####ayswar.com/vzm50m066us8
- http://gi###rluvua.com/vzm50m066us8
- http://ad###forua.com/vzm50m066us8
- http://us####hgitler.com/g04pbke2saw
- http://us####ayswar.com/g04pbke2saw
- http://gi###rluvua.com/g04pbke2saw
- http://ad###forua.com/g04pbke2saw
- http://ad###forua.com/eudig5natkum
- http://us####hgitler.com/eudig5natkum
- http://po#####nkogitler.com/eudig5natkum
- http://gi###rluvua.com/eudig5natkum
- http://po#####nkogitler.com/s9oyjjbentb
- http://gi###rluvua.com/s9oyjjbentb
- http://us####hgitler.com/mfsa45p32t
- http://us####ayswar.com/mfsa45p32t
- http://us####ayswar.com/s9oyjjbentb
- http://po#####nkogitler.com/g04pbke2saw
- http://ad###forua.com/s9oyjjbentb
- http://us####hgitler.com/s9oyjjbentb
- http://po#####nkogitler.com/p9udv62wfhh
- http://gi###rluvua.com/p9udv62wfhh
- http://us####hgitler.com/qt2o71pjq4m24o
- http://us####ayswar.com/qt2o71pjq4m24o
- http://us####ayswar.com/p9udv62wfhh
- http://po#####nkogitler.com/k4rrpvz0vbh
- http://ad###forua.com/p9udv62wfhh
- http://us####hgitler.com/p9udv62wfhh
- http://ad###forua.com/ec45ct2g282ar1
- http://us####hgitler.com/ec45ct2g282ar1
- http://po#####nkogitler.com/ec45ct2g282ar1
- http://gi###rluvua.com/ec45ct2g282ar1
- http://gi###rluvua.com/qt2o71pjq4m24o
- http://ad###forua.com/qt2o71pjq4m24o
- http://us####ayswar.com/ec45ct2g282ar1
- http://po#####nkogitler.com/qt2o71pjq4m24o
- http://gi###rluvua.com/2vw0926vkp97o
- http://ad###forua.com/2vw0926vkp97o
- http://us####ayswar.com/x3z4zk6lf8
- http://po#####nkogitler.com/2vw0926vkp97o
- http://po#####nkogitler.com/lswxwkl8ou
- http://gi###rluvua.com/lswxwkl8ou
- http://us####hgitler.com/2vw0926vkp97o
- http://us####ayswar.com/2vw0926vkp97o
- http://us####hgitler.com/k4rrpvz0vbh
- http://us####ayswar.com/k4rrpvz0vbh
- http://gi###rluvua.com/k4rrpvz0vbh
- http://ad###forua.com/k4rrpvz0vbh
- http://ad###forua.com/x3z4zk6lf8
- http://us####hgitler.com/x3z4zk6lf8
- http://po#####nkogitler.com/x3z4zk6lf8
- http://gi###rluvua.com/x3z4zk6lf8
UDP:
- DNS ASK us####hgitler.com
- DNS ASK us####ayswar.com
- DNS ASK ad###forua.com
- DNS ASK po#####nkogitler.com
- DNS ASK gi###rluvua.com
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
- ClassName: 'MS_WINHELP' WindowName: ''
