Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Update Manager' = '%APPDATA%\WindowsUpdate\MSupdate.exe'
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe,%APPDATA%\WindowsUpdate\MSupdate.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Taskman' = '%APPDATA%\WindowsUpdate\MSupdate.exe'
Вредоносные функции:
Внедряет код в
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\WindowsUpdate\MSupdate.exe
Сетевая активность:
Подключается к:
- '21#.#3.12.162':2800
- '80.#2.64.8':2800
- '93.##0.140.113':2800
- '21#.#3.9.104':2800
- '21#.23.7.3':2800
- '21#.#3.14.136':2800
- '10#.#36.88.161':2800
- '21#.#3.8.142':2800
- '89.##8.168.117':2800
- '94.##2.52.22':2800
- '80.##.70.141':2800
- '80.##.65.207':2800
- '80.##.65.199':2800
- '93.##4.93.210':2800
- '94.##2.52.19':2800
- '93.##4.93.116':2800
- '94.##2.51.231':2800
- '93.##0.139.14':2800
- '10#.#36.82.19':2800
- '10#.#9.2.221':2800
- '10#.#36.88.101':2800
- '93.##0.142.191':2800
- '21#.#3.3.105':2800
- '10#.#9.2.221':4321
- '10#.#36.89.78':2800
- '10#.#36.82.142':2800
- '10#.#36.86.27':2800
- '93.##0.140.103':2800
- '93.##0.140.141':2800
- '10#.#36.83.12':2800
- '10#.#36.86.119':2800
- '21#.#3.3.204':2800
- '21#.#3.4.220':2800
- '93.##0.140.159':2800
- '93.##0.140.158':2800
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
