Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\xbazixbpfj.url
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\wuapp.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\wuapp.exe
Изменения в файловой системе
Создает следующие файлы
- %PROGRAMDATA%\iscupjbuvq\4e064bee1f
- %PROGRAMDATA%\iscupjbuvq\cfgi
- %PROGRAMDATA%\iscupjbuvq\cfg
- %PROGRAMDATA%\iscupjbuvq\taskhostws
- %PROGRAMDATA%\iscupjbuvq\r.vbs
Удаляет следующие файлы
- %PROGRAMDATA%\iscupjbuvq\r.vbs
Перемещает следующие файлы
- %PROGRAMDATA%\iscupjbuvq\taskhostws в %PROGRAMDATA%\iscupjbuvq\taskhostws.exe
Сетевая активность
Подключается к
- '37.##.215.222':5790
TCP
Запросы HTTP GET
- http://37.##.212.223/xmr.txt
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "%PROGRAMDATA%\iscupJbUvq\r.vbs"
Запускает на исполнение
- '<SYSTEM32>\wuapp.exe' -c "%PROGRAMDATA%\iscupJbUvq\cfg"
- '<SYSTEM32>\wuapp.exe' -c "%PROGRAMDATA%\iscupJbUvq\cfgi"
- '<SYSTEM32>\cmd.exe' /C WScript "%PROGRAMDATA%\iscupJbUvq\r.vbs"
