Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'KB01321295.exe' = '"%APPDATA%\KB01321295.exe"'
Вредоносные функции:
Создает и запускает на исполнение:
- %APPDATA%\KB01321295.exe
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
большое количество пользовательских процессов.
Скрывает следующие процессы:
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\exp1.tmp.bat
- %APPDATA%\KB01321295.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- '72.##.203.140':8080
- '59.#0.221.6':8080
- '20#.#69.13.84':8080
- '21#.#55.134.110':8080
- '21#.#91.168.98':8080
- '17#.#24.208.60':8080
- '19#.#11.72.46':8080
- '21#.#8.12.158':8080
- '20#.#82.144.115':8080
- '19#.#1.213.194':8080
- '72.##7.253.106':8080
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
