Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '{1D476073-5E7F-AD41-B897-60D4A63F43C6}' = '"%APPDATA%\Hugul\awaf.exe"'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
Создает и запускает на исполнение:
- '%APPDATA%\Hugul\awaf.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cscript.exe
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\tmpf1d7173e.bat
- <LS_APPDATA>\bixue.iri
- %APPDATA%\Hugul\awaf.exe
Самоудаляется.
Сетевая активность:
UDP:
- '20#.#09.200.98':24153
- '65.##.153.238':11416
- '99.##0.165.132':25139
- '19#.#7.222.42':24309
- '99.#6.3.38':15247
- '75.#.222.103':11577
- '19#.#69.125.228':29902
- '69.##.132.197':20764
- '21#.#2.52.37':26413
- '12#.#60.39.192':11907
- '10#.#16.164.109':17963
- '19#.#93.227.247':29113
- '36.##.182.192':11743
- '18#.#34.150.241':16395
- '47.##.234.152':13666
- '71.##6.48.91':22174
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
