Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'SonyAgent' = '<Полный путь к вирусу>'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\wermgr.exe' -queuereporting
Изменения в файловой системе:
Создает следующие файлы:
- \Device\HarddiskVolume1\Boot\BCD
- \Device\HarddiskVolume1\Boot\BCD.LOG
Присваивает атрибут 'скрытый' для следующих файлов:
- <Полный путь к вирусу>
Удаляет следующие файлы:
- <SYSTEM32>\wdi\{86432a0b-3c7d-4ddf-a89c-172faa90485d}\{adae45d8-2fab-47b3-87a0-acd5d152faa8}\snapshot.etl
- <SYSTEM32>\wdi\{86432a0b-3c7d-4ddf-a89c-172faa90485d}\{9d97096f-0f1f-40ee-91c3-2b8d19406a68}\snapshot.etl
- <SYSTEM32>\wdi\{86432a0b-3c7d-4ddf-a89c-172faa90485d}\{cf2d55d3-1de0-4509-8048-92f92c10bf0f}\snapshot.etl
- <SYSTEM32>\wdi\{86432a0b-3c7d-4ddf-a89c-172faa90485d}\{eb225e7e-e27b-440e-b394-f6f547a7f393}\snapshot.etl
- <SYSTEM32>\wdi\{86432a0b-3c7d-4ddf-a89c-172faa90485d}\{d6f13fc6-4024-4107-ae73-f082a2f332c7}\snapshot.etl
- <SYSTEM32>\wdi\{86432a0b-3c7d-4ddf-a89c-172faa90485d}\{694db6cc-ebd3-451d-9194-c6db60200fe1}\snapshot.etl
- <SYSTEM32>\wdi\{86432a0b-3c7d-4ddf-a89c-172faa90485d}\{09648d42-70ce-46d6-9603-634534d5302a}\snapshot.etl
- <SYSTEM32>\wdi\{86432a0b-3c7d-4ddf-a89c-172faa90485d}\{00c7ec2b-f845-4ce8-95ad-bc99224dc312}\snapshot.etl
- <SYSTEM32>\wdi\{86432a0b-3c7d-4ddf-a89c-172faa90485d}\{0b280211-5916-4dd7-8521-bee7af2e037c}\snapshot.etl
- <SYSTEM32>\wdi\{86432a0b-3c7d-4ddf-a89c-172faa90485d}\{666f76b6-7a73-4d8f-9230-ae4cd9be13a6}\snapshot.etl
- <SYSTEM32>\wdi\{86432a0b-3c7d-4ddf-a89c-172faa90485d}\{25bf6d38-6790-4951-b1fc-9c298cae91d9}\snapshot.etl
Сетевая активность:
Подключается к:
- '95.##9.13.51':80
- 'localhost':49197
- 'localhost':49200
- 'localhost':49203
- '46.##2.249.145':80
- 'localhost':49191
- '18#.#30.68.8':80
- '78.##.114.49':80
- '21#.#25.141.13':80
- 'localhost':49194
- '17#.#58.225.3':80
- 'localhost':49215
- '94.##0.214.22':80
- '93.##.218.82':80
- '31.##8.186.43':80
- '89.#8.52.30':80
- '10#.#2.116.43':80
- 'localhost':49206
- 'localhost':49209
- 'localhost':49212
- '31.##.228.229':80
- 'localhost':49167
- '89.##6.147.12':80
- '17#.#49.21.58':80
- '5.###.88.158':80
- 'localhost':49170
- '46.##8.40.88':80
- 'localhost':49158
- 'localhost':49161
- 'localhost':49164
- '10#.#62.50.54':80
- 'localhost':49173
- '46.##5.73.53':80
- 'localhost':49182
- 'localhost':49185
- 'localhost':49188
- '93.##.28.152':80
- 'localhost':49176
- '17#.#7.96.11':80
- '17#.#11.99.51':80
- '46.##8.141.12':80
- 'localhost':49179
TCP:
Запросы HTTP GET:
- 31.##8.186.43/start.htm
- 89.#8.52.30/online.htm
- 89.##6.147.12/default.htm
