Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '{1D476073-5E7F-AD41-B897-60D4A63F43C6}' = '"%APPDATA%\Eqynvu\exegx.exe"'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\tmp17986ee5.bat"
- '%APPDATA%\Eqynvu\exegx.exe'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cscript.exe
большое количество пользовательских процессов.
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами:
- [<HKCU>\Software\Microsoft\Windows Live Mail]
- [<HKCU>\Software\Microsoft\Internet Account Manager\Accounts]
- [<HKCU>\Software\Microsoft\Internet Account Manager]
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\tmp17986ee5.bat
- <LS_APPDATA>\ojna.ebe
- %APPDATA%\Eqynvu\exegx.exe
Самоудаляется.
Сетевая активность:
UDP:
- '20#.#55.57.50':29759
- '19#.#4.127.98':25549
- '99.##3.42.49':26480
- '66.##7.77.134':15387
- '80.##2.59.142':20199
- '64.##9.121.189':13503
- '37.##1.204.170':15619
- '1.###.47.244':16276
- '76.##.45.101':21230
- '94.#5.53.39':17842
- '19#.#9.195.12':15420
- '18#.#5.10.18':12066
- '24.##0.165.58':21251
- '16#.#16.148.2':15242
- '10#.#11.64.46':23323
- '71.#.233.139':18736
