Техническая информация
Вредоносные функции:
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
Запускает на исполнение:
- '<SYSTEM32>\vssadmin.exe' Delete Shadows /All /Quiet
- '<SYSTEM32>\svchost.exe' netsvcs
- '%WINDIR%\explorer.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- %WINDIR%\explorer.exe
Изменения в файловой системе:
Создает следующие файлы:
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP14\RestorePointSize
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP14\rp.log
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP15\RestorePointSize
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP15\rp.log
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP12\RestorePointSize
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP12\rp.log
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP13\RestorePointSize
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\RP13\rp.log
Сетевая активность:
Подключается к:
- 'so###vego.com':80
- 'nd##.co.uk':80
- 'su##va.com':80
- 'go#####vanilombardia.it':80
- 'li##.net':80
- 'we####oratory.org':80
- 'si#####thbunglows.com':80
- 'da####artners.co.uk':80
- 'aa##o.nl':80
- 'ma#####e-umeed.com.pk':80
- 'tu######scortistanbul.com':80
- 'ya######iborcsorgulama.com':80
- 'wh###berry.pl':80
- 'ta#p.cn':80
- 'se###emira.com':80
- 'pr##.ict.ac.cn':80
- 'nb###ning.com':80
- 'mi#####fotografie.nl':80
- 'ne##no.cl':80
- 'fa#####recision.co.uk':80
- 'fg##log.com':80
- 'dj##r.com':80
- 'th##kaz.com':80
- 'fl####cebeauty.pl':80
- 'mi##ufa.com':80
- 'nw###s.co.uk':80
- 'se####silvano.nl':80
- 'ra###tutkal.com':80
- 'sq####academy.ro':80
- 'mr##rber.ir':80
- 'jd##120.com':80
- 'la###honders.nl':80
- 'in######eprotector.co.uk':80
- 'cm###hoto.com':80
- 'ea####ackerpro.com':80
- 'cp##adi.com':80
- 'lu###elier.nl':80
- 'de###ntbc.com':80
UDP:
- DNS ASK so###vego.com
- DNS ASK nd##.co.uk
- DNS ASK su##va.com
- DNS ASK go#####vanilombardia.it
- DNS ASK li##.net
- DNS ASK we####oratory.org
- DNS ASK si#####thbunglows.com
- DNS ASK da####artners.co.uk
- DNS ASK aa##o.nl
- DNS ASK ma#####e-umeed.com.pk
- DNS ASK tu######scortistanbul.com
- DNS ASK ya######iborcsorgulama.com
- DNS ASK wh###berry.pl
- DNS ASK ta#p.cn
- DNS ASK se###emira.com
- DNS ASK pr##.ict.ac.cn
- DNS ASK nb###ning.com
- DNS ASK mi#####fotografie.nl
- DNS ASK ne##no.cl
- DNS ASK fa#####recision.co.uk
- DNS ASK fg##log.com
- DNS ASK dj##r.com
- DNS ASK th##kaz.com
- DNS ASK fl####cebeauty.pl
- DNS ASK mi##ufa.com
- DNS ASK nw###s.co.uk
- DNS ASK se####silvano.nl
- DNS ASK ra###tutkal.com
- DNS ASK sq####academy.ro
- DNS ASK mr##rber.ir
- DNS ASK jd##120.com
- DNS ASK la###honders.nl
- DNS ASK in######eprotector.co.uk
- DNS ASK cm###hoto.com
- DNS ASK ea####ackerpro.com
- DNS ASK cp##adi.com
- DNS ASK lu###elier.nl
- DNS ASK de###ntbc.com
