Техническая информация
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '<SYSTEM32>\wscript.exe' "%TEMP%\TestVBScript.vbs"
Запускает на исполнение (эксплоит)
- '%WINDIR%\syswow64\cmd.exe' /c ren %tmp%\yy y.js&cSCript %tmp%\y.js C
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\yy (2)
- %TEMP%\xx (2)
- %TEMP%\testvbscript.vbs
- %PROGRAMDATA%\hrjytrj.cmd
Удаляет следующие файлы
- %TEMP%\testvbscript.vbs
Сетевая активность
TCP
Запросы HTTP GET
- http://ed##to.ga/prodigy/Daint5.exe
UDP
- DNS ASK ed##to.ga
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ren %tmp%\yy y.js&cSCript %tmp%\y.js C' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\cscript.exe' %TEMP%\y.js C
