Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Windows System Audio Driver' = '"%WINDIR%\audio32hd.exe"'
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Создает и запускает на исполнение:
- '%APPDATA%\WUD32Host.exe'
- '%WINDIR%\audio32hd.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' Firewall set opmode disable
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\WUD32Host.exe
- %WINDIR%\audio32hd.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\WUD32Host.exe
- %WINDIR%\audio32hd.exe
Сетевая активность:
Подключается к:
- '16#####8.bounceme.net':80
- '16####08.zapto.org':80
- '16######.rockingwranchinc.com':80
- '16#####8.isihia-exi.ro':80
- '16####08.shop.tm':80
- '16######.##rnando-botero-sculpture.com':80
- '16######.death-by-monkeys.com':80
- '16####08.shadir.com':80
- '16#####8.dianyglas.com':80
- '16#####8.profinet.ro':80
- '16####08.info.tm':80
- '16#####8.servebeer.com':80
- '16######.serveminecraft.net':80
- '16#####8.3utilities.com':80
- '16######.jlengineering.se':80
- '16#####8.becompany.org':80
- '16#####8.servepics.com':80
- '16######.theabernathyhome.com':80
- '16####08.no-ip.biz':80
- '16#####8.goofyspeak.com':80
- 'wp#d':80
- '16######.computersforpeace.net':80
- '16######.sexyhosting.biz':80
- '16###208.qc.to':80
- '16#####8.905tech.com':80
- '16####08.carys.org':80
- '16######.fatesperfection.com':80
- '16####08.thegmc.com':80
- '16####08.devi1.net':80
- '16######.servecounterstrike.com':80
- '16####08.igliss.com':80
TCP:
Запросы HTTP GET:
- wp#d/wpad.dat
Запросы HTTP POST:
- 16#####8.bounceme.net/
- 16####08.zapto.org/
- 16######.rockingwranchinc.com/
- 16#####8.isihia-exi.ro/
- 16####08.shop.tm/
- 16######.##rnando-botero-sculpture.com/
- 16######.death-by-monkeys.com/
- 16####08.shadir.com/
- 16#####8.dianyglas.com/
- 16#####8.profinet.ro/
- 16####08.info.tm/
- 16#####8.servebeer.com/
- 16######.serveminecraft.net/
- 16#####8.3utilities.com/
- 16######.jlengineering.se/
- 16######.theabernathyhome.com/
- 16####08.no-ip.biz/
- 16###208.qc.to/
- 16#####8.servepics.com/
- 16######.computersforpeace.net/
- 16######.sexyhosting.biz/
- 16#####8.goofyspeak.com/
- 16####08.devi1.net/
- 16####08.carys.org/
- 16######.fatesperfection.com/
- 16#####8.becompany.org/
- 16#####8.905tech.com/
- 16######.servecounterstrike.com/
- 16####08.igliss.com/
- 16####08.thegmc.com/
UDP:
- DNS ASK 16#####8.bounceme.net
- DNS ASK 16#####8.isihia-exi.ro
- DNS ASK 16######.rockingwranchinc.com
- DNS ASK 16####08.zapto.org
- DNS ASK 16####08.shop.tm
- DNS ASK 16#####8.becompany.org
- DNS ASK 16######.death-by-monkeys.com
- DNS ASK 16######.##rnando-botero-sculpture.com
- DNS ASK 16#####8.dianyglas.com
- DNS ASK 16#####8.servebeer.com
- DNS ASK 16####08.info.tm
- DNS ASK 16#####8.profinet.ro
- DNS ASK 16######.serveminecraft.net
- DNS ASK 16####08.shadir.com
- DNS ASK 16######.jlengineering.se
- DNS ASK 16#####8.3utilities.com
- DNS ASK 16####08.funkar.nu
- DNS ASK 16#####8.goofyspeak.com
- DNS ASK 16#####8.servepics.com
- DNS ASK 16######.theabernathyhome.com
- DNS ASK 16######.sexyhosting.biz
- DNS ASK 16######.fatesperfection.com
- DNS ASK wp#d
- DNS ASK 16######.computersforpeace.net
- DNS ASK 16####08.no-ip.biz
- DNS ASK 16####08.thegmc.com
- DNS ASK 16#####8.905tech.com
- DNS ASK 16####08.carys.org
- DNS ASK 16####08.igliss.com
- DNS ASK 16###208.qc.to
- DNS ASK 16####08.devi1.net
- DNS ASK 16######.servecounterstrike.com
- '23#.#55.255.250':1900
- '<IP-адрес в локальной сети>':5351
