Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'SonyAgent' = '<Полный путь к вирусу>'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\conhost.exe'
Изменения в файловой системе:
Создает следующие файлы:
- C:\ProgramData\Microsoft\Windows\WER\ReportQueue\NonCritical_80070422_76a4385aa7fdcd3dc476f7ea51e8ea5565f02fd_0bd1532e\Report.wer
- %WINDIR%\Temp\MPTelemetrySubmit\watson_manifest.txt
- %WINDIR%\Temp\MPTelemetrySubmit\client_manifest.txt
Присваивает атрибут 'скрытый' для следующих файлов:
- <Полный путь к вирусу>
Удаляет следующие файлы:
- %WINDIR%\Temp\MPTelemetrySubmit\client_manifest.txt
- %WINDIR%\Temp\MPTelemetrySubmit\watson_manifest.txt
Сетевая активность:
Подключается к:
- '22#.#8.242.15':80
- 'localhost':49199
- 'localhost':49202
- 'localhost':49205
- '17#.#37.84.60':80
- 'localhost':49193
- '46.##1.30.239':80
- '19#.#11.211.14':80
- '59.##1.116.82':80
- 'localhost':49196
- '17#.8.110.5':80
- 'localhost':49217
- '10#.87.16.3':80
- '37.##.242.48':80
- '27.#.113.35':80
- '77.##0.177.5':80
- '5.##8.98.62':80
- 'localhost':49208
- 'localhost':49211
- 'localhost':49214
- '77.##3.109.155':80
- 'localhost':49169
- '49.##1.106.156':80
- '11#.37.27.4':80
- '13#.#80.220.45':80
- 'localhost':49172
- '17#.#58.238.3':80
- 'localhost':49160
- 'localhost':49163
- 'localhost':49166
- '17#.#10.16.58':80
- 'localhost':49175
- '89.##.116.23':80
- 'localhost':49184
- 'localhost':49187
- 'localhost':49190
- '18#.#30.16.102':80
- 'localhost':49178
- '19#.#74.32.4':80
- '12#.6.5.23':80
- '19#.#06.220.94':80
- 'localhost':49181
TCP:
Запросы HTTP GET:
- 17#.#37.84.60/setup.htm
- 27.#.113.35/search.htm
- 77.##0.177.5/search.htm
UDP:
- DNS ASK dn#.##ftncsi.com
- DNS ASK wa####.microsoft.com
- '22#.0.0.252':5355
