Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\mfds] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\mfds] 'ImagePath' = '"%WINDIR%\SysWOW64\mfds\mfds.exe"'
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABSAG8AbQBiAHcAYgBvAGMAZwBwAGgAYQBmAD0AJwBRAGsAeQBkAHMAZwBlAHIAagBqAGYAJwA7ACQAUgBxAGsAbQBxAGEAcABsAHcAIAA9ACAAJwAzADEANwAnADsAJABNAG0AZgBmAGYAYQBpAHQAbABoAHMAPQAnAE8AcwBqAHEAZgBlAGEAawBmAG...
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\317.exe
Перемещает следующие файлы
- %HOMEPATH%\317.exe в %WINDIR%\syswow64\mfds\mfds.exe
Сетевая активность
Подключается к
- '71.##6.247.90':80
- '98.##9.119.52':80
- '80.#6.91.91':8080
- '10#.#36.28.47':8080
TCP
Запросы HTTP GET
- http://sp######.azurewebsites.net/calendar/Xzoo/
- http://te##.#ighoninfo.com/wp-admin/1tx/
- http://th######earyhillproject.com/wp-admin/q07/
Запросы HTTP POST
- http://10#.##6.28.47:8080/k72seh7eilzHNj5NU9/ via 10#.#36.28.47
UDP
- DNS ASK sp######.azurewebsites.net
- DNS ASK te##.#ighoninfo.com
- DNS ASK th######earyhillproject.com
Другое
Создает и запускает на исполнение
- '%HOMEPATH%\317.exe'
- '%WINDIR%\syswow64\mfds\mfds.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABSAG8AbQBiAHcAYgBvAGMAZwBwAGgAYQBmAD0AJwBRAGsAeQBkAHMAZwBlAHIAagBqAGYAJwA7ACQAUgBxAGsAbQBxAGEAcABsAHcAIAA9ACAAJwAzADEANwAnADsAJABNAG0AZgBmAGYAYQBpAHQAbABoAHMAPQAnAE8AcwBqAHEAZgBlAGEAawBmAG...' (со скрытым окном)
