Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsOS Services' = '%APPDATA%\Roaming\opriman\servicedll.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ZipCloud Update' = '%APPDATA%\Roaming\opriman\service_update.exe'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\services\IKEEXT] 'Start' = '00000002'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\svchost.exe' -k NetworkServiceNetworkRestricted
- '<SYSTEM32>\netsh.exe' firewall set opmode disable
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\Roaming\opriman\service_update.exe
Сетевая активность:
Подключается к:
- 'dl.#####oxusercontent.com':443
- 'gi###us-btc.pw':80
TCP:
Запросы HTTP GET:
- gi###us-btc.pw/workers.php?ma####################################################################################
UDP:
- DNS ASK dl.#####oxusercontent.com
- DNS ASK gi###us-btc.pw
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: '(null)'
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
