Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\syshost32] 'ImagePath' = '"%WINDIR%\Installer\{101ECA8C-F847-FACC-DE7C-D8D77201D695}\syshost.exe" /service'
- [<HKLM>\SYSTEM\ControlSet001\Services\syshost32] 'Start' = '00000002'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DoNotAllowExceptions' = '00000000'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /C del /Q /F "%TEMP%\ee654b14.tmp"
- '<SYSTEM32>\netsh.exe' firewall set opmode mode=DISABLE profile=ALL
- '%WINDIR%\Installer\{101ECA8C-F847-FACC-DE7C-D8D77201D695}\syshost.exe' /service
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\Temp\e6afe82f-3b6a-f9d4-ea5b-ff081176a70b.tmp
- %WINDIR%\Installer\{101ECA8C-F847-FACC-DE7C-D8D77201D695}\syshost.exe
Самоперемещается:
- из <Полный путь к файлу> в %TEMP%\ee654b14.tmp
Самоудаляется.
Сетевая активность:
Подключается к:
- '21#.#9.27.241':80
- '18#.#5.184.248':20670
- '20#.#1.95.42':8197
- '14#.#.114.169':26557
- '0.###l.ntp.org':123
- '20#.#6.232.182':80
- '2.###l.ntp.org':123
- '1.###l.ntp.org':123
UDP:
- DNS ASK qc###rtuop.bit
- DNS ASK 0.###l.ntp.org
- DNS ASK 2.###l.ntp.org
- DNS ASK 1.###l.ntp.org
- DNS ASK vt###uyippp.com
- DNS ASK ys####zhydxkef.com
- DNS ASK microsoft.com
- DNS ASK pf####lamabqqrt.com
- DNS ASK sk####vzuzxyyjh.com
- '58.##4.243.37':28082
- '59.##4.109.238':4943
- 'localhost':1059
- '59.##.24.251':5924
- '21#.#1.79.192':15408
- 'localhost':1057
- '82.##8.206.83':8155
- '58.##.46.149':14427
- 'localhost':1065
- '17#.#2.246.45':23870
- '36.##4.129.217':29461
- '14#.#31.141.163':6185
- 'localhost':1060
- '18#.#54.142.97':23993
- 'localhost':1053
- 'localhost':1043
- '11#.#32.47.191':31257
- 'localhost':1046
- '18#.#1.217.246':31906
- '19#.#6.244.197':13834
- '36.##7.82.69':11623
- 'localhost':1042
- 'localhost':1050
- 'localhost':1052
- '84.##3.58.135':28738
- '19#.#7.117.4':10891
- '11#.#42.212.212':26745
- '58.##5.136.195':19695
- '77.#1.15.68':4585
