Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\q-8-1-58-1188092299-1330475619-1299428449-1239\{6x7cvhee-wkzs-qyy5-xcx-c2gfgmopqlfg}
Изменения в файловой системе
Создает следующие файлы
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\vhpm2vbi\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\v0w3ygpe\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\ckoijx6p\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\d1cy4e0a\desktop.ini
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\index.dat
Присваивает атрибут 'скрытый' для следующих файлов
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\vhpm2vbi\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\v0w3ygpe\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\ckoijx6p\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\d1cy4e0a\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
Самоперемещается
- из <Полный путь к файлу> в %APPDATA%\amd64_microsoft-windows-clouddomainjoinaug_31bf3856ad364e35_10.0.18362.1_none_d93a81006de47322\eapsimextdesktop.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://oc##.#tartssl.com/sub/class2/code/ca/MEMwQTA%2FMD0wOzAJBgUrDgMCGgUABBQSOgrhRCSnWfKxoWTjWxhk8hga9AQU0E4PQJlsuEsZbzsouODjiAc0qrcCAhAV
UDP
- DNS ASK ip###ger.org
- DNS ASK oc##.#tartssl.com
- DNS ASK public-trust.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c icacls "%APPDATA%\amd64_microsoft-windows-clouddomainjoinaug_31bf3856ad364e35_10.0.18362.1_none_d93a81006de47322" /inheritance:e /deny "*S-1-1-0:(R,REA,RA,RD)" & icacls "%APPDATA%\amd64_micr...' (со скрытым окном)
- '%APPDATA%\amd64_microsoft-windows-clouddomainjoinaug_31bf3856ad364e35_10.0.18362.1_none_d93a81006de47322\eapsimextdesktop.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c icacls "%APPDATA%\amd64_microsoft-windows-clouddomainjoinaug_31bf3856ad364e35_10.0.18362.1_none_d93a81006de47322" /inheritance:e /deny "*S-1-1-0:(R,REA,RA,RD)" & icacls "%APPDATA%\amd64_micr...
- '%WINDIR%\syswow64\icacls.exe' "%APPDATA%\amd64_microsoft-windows-clouddomainjoinaug_31bf3856ad364e35_10.0.18362.1_none_d93a81006de47322" /inheritance:e /deny "*S-1-1-0:(R,REA,RA,RD)"
- '%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
- '%WINDIR%\syswow64\icacls.exe' "%APPDATA%\amd64_microsoft-windows-clouddomainjoinaug_31bf3856ad364e35_10.0.18362.1_none_d93a81006de47322" /inheritance:e /deny "*S-1-5-7:(R,REA,RA,RD)"
- '%WINDIR%\syswow64\icacls.exe' "%APPDATA%\amd64_microsoft-windows-clouddomainjoinaug_31bf3856ad364e35_10.0.18362.1_none_d93a81006de47322" /inheritance:e /deny "user:(R,REA,RA,RD)"
- '<SYSTEM32>\taskeng.exe' {C97EC3A1-093C-438B-B20E-BD55ED9EA686} S-1-5-21-1960123792-2022915161-3775307078-1001:kqcqjbelx\user:Interactive:[1]
