Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
изменяет следующие системные настройки:
- Изменяет DNS-сервер на '58.84.55.141'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\d19a.tmp\d19b.bat
- %TEMP%\d19a.tmp\results.txt
Удаляет следующие файлы
- %TEMP%\d19a.tmp\results.txt
- %TEMP%\d19a.tmp\d19b.bat
Сетевая активность
UDP
- DNS ASK microsoft.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\D19A.tmp\D19B.bat <Полный путь к файлу>"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\D19A.tmp\D19B.bat <Полный путь к файлу>"
- '<SYSTEM32>\cmd.exe' /c route print |findstr "\<0.0.0.0\>"
- '<SYSTEM32>\route.exe' print
- '<SYSTEM32>\findstr.exe' "\<0.0.0.0\>"
- '<SYSTEM32>\cmd.exe' /c wmic nicconfig get DefaultIPGateway,IPAddress,Description |findstr "10.0.13.1"|findstr "10.0.13.40"
- '<SYSTEM32>\wbem\wmic.exe' nicconfig get DefaultIPGateway,IPAddress,Description
- '<SYSTEM32>\findstr.exe' "10.0.13.1"
- '<SYSTEM32>\findstr.exe' "10.0.13.40"
- '<SYSTEM32>\cmd.exe' /c wmic nic where "NAME='Intel(R) PRO/1000 MT Desktop Adapter'" get NetConnectionID /value
- '<SYSTEM32>\wbem\wmic.exe' nic where "NAME='Intel(R) PRO/1000 MT Desktop Adapter'" get NetConnectionID /value
- '<SYSTEM32>\netsh.exe' interface ip set dns "L" static 58.84.55.141
