Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c netsh ipsec static add filterlist name=block
- '<SYSTEM32>\netsh.exe' ipsec static add filterlist name=block
- '<SYSTEM32>\cmd.exe' /c netsh ipsec static add policy name=netbc
- '<SYSTEM32>\netsh.exe' ipsec static add policy name=netbc
- '<SYSTEM32>\cmd.exe' /c netsh ipsec static add filter filterlist=block any srcmask=32 srcport=0 dstaddr=me dstport=445 protocol=tcp description=445
- '<SYSTEM32>\netsh.exe' ipsec static add filter filterlist=block any srcmask=32 srcport=0 dstaddr=me dstport=445 protocol=tcp description=445
- '<SYSTEM32>\cmd.exe' /c netsh ipsec static add filteraction name=block action=block
- '<SYSTEM32>\netsh.exe' ipsec static add filteraction name=block action=block
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im mmc.exe
- '<SYSTEM32>\taskkill.exe' /f /im mmc.exe
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im hdmanager.exe
- '<SYSTEM32>\taskkill.exe' /f /im hdmanager.exe
- '<SYSTEM32>\cmd.exe' /c sc delete WELM
- '<SYSTEM32>\sc.exe' delete WELM
- '<SYSTEM32>\cmd.exe' /c sc stop WELM
- '<SYSTEM32>\sc.exe' stop WELM
Сетевая активность:
Подключается к:
- '08.###er5566.com':80
TCP:
Запросы HTTP GET:
- http:///install/start via 08.###er5566.com
UDP:
- DNS ASK 08.###er5566.com
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
