Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Hiacla' = '"%APPDATA%\Elxo\hiacla.exe"'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
Создает и запускает на исполнение:
- '%APPDATA%\Elxo\hiacla.exe'
Внедряет код в
следующие системные процессы:
- <Служебный элемент>
большое количество пользовательских процессов.
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\tmp11a49d94.bat
- <LS_APPDATA>\ehkur.lek
- %APPDATA%\Elxo\hiacla.exe
Самоудаляется.
Сетевая активность:
UDP:
- '10#.#4.172.39':18939
- '21#.#09.241.213':16882
- '95.##0.56.139':18518
- '78.##6.55.249':18086
- '89.##2.155.200':10042
- '18#.#41.97.79':16114
- '71.##3.224.27':12893
- '14#.#36.161.103':14675
- '17#.#5.134.131':14623
- '94.##.60.113':19729
Другое:
Ищет следующие окна:
- ClassName: 'Indicator' WindowName: ''
