Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\rundll32.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cscript.exe
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\oca.hfe
- %ALLUSERSPROFILE%\xis\easll.emi
Сетевая активность:
Подключается к:
- 'er##rl.pw':80
- 'lo###pkriobz.in':80
- 'jd##kac.com':80
- 'ng##hs.in':80
- 'sg###fhjwo.in':80
- 'gu##u.ru':80
- 'xp##kgg.in':80
- 'zk###rhagap.pw':80
- 'km##z.com':80
- 'bb###xclvm.com':80
- 'xn###yngbx.com':80
- 'di###bpihrm.in':80
- 'tt##e.in':80
- 'qv###qrvli.ru':80
- 'ti###xmqpv.ru':80
- 'qc###joyl.com':80
- 'rg##x.com':80
- 'jl###vgbe.in':80
- 'po##xsx.pw':80
- 'uv##w.ru':80
- 'vf###ixtxj.com':80
- 'pe##u.in':80
TCP:
Запросы HTTP POST:
- http://er##rl.pw/vfrxcPn0pi8Kl?HN##################
- http://lo###pkriobz.in/Timnf93DQFZdFC?dn########################
- http://jd##kac.com/9fQi1nhXx?j9#########
- http://ng##hs.in/ybunzmd1sDbG?rQ###############################################
- http://sg###fhjwo.in/ous8yy0u?P8######################
- http://gu##u.ru/Dn9of015vRce?Bs##########################
- http://xp##kgg.in/uFi1jXqbgF?6Z##########
- http://zk###rhagap.pw/moPf1zL0?bE##########
- http://km##z.com/Jrpj294?jM######################
- http://bb###xclvm.com/jd37d8tXHx?v6#########################
- http://xn###yngbx.com/mD4ceTZrru9P?jF###########################################
- http://di###bpihrm.in/7fDN8Oa?8b########################
- http://tt##e.in/xlmFzv8q?r2##########
- http://qv###qrvli.ru/hVNZ7Enp0i?iX##################################################
- http://ti###xmqpv.ru/Va7qGvDv?tm###################
- http://qc###joyl.com/739ttcsPRF5?ST##############
- http://rg##x.com/A2idA4?F2##################################################
- http://jl###vgbe.in/0Owe6GJtqbix?ne###################################################
- http://po##xsx.pw/u3t8Z?By########
- http://uv##w.ru/VrYq9f5SzvxJ?qW##########
- http://vf###ixtxj.com/Lu7ogvfh?06############
- http://pe##u.in/Rr6UOkwrn3w?n2############################
UDP:
- DNS ASK er##rl.pw
- DNS ASK lo###pkriobz.in
- DNS ASK jd##kac.com
- DNS ASK ng##hs.in
- DNS ASK sg###fhjwo.in
- DNS ASK gu##u.ru
- DNS ASK xp##kgg.in
- DNS ASK zk###rhagap.pw
- DNS ASK km##z.com
- DNS ASK bb###xclvm.com
- DNS ASK xn###yngbx.com
- DNS ASK po##xsx.pw
- DNS ASK qv###qrvli.ru
- DNS ASK di###bpihrm.in
- DNS ASK qc###joyl.com
- DNS ASK google.com
- DNS ASK ti###xmqpv.ru
- DNS ASK tt##e.in
- DNS ASK uv##w.ru
- DNS ASK jl###vgbe.in
- DNS ASK pe##u.in
- DNS ASK rg##x.com
- DNS ASK vf###ixtxj.com
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
