Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'ID_E2A96AA9' = 'wscript.exe //b %APPDATA%\Microsoft\Windows\CompPress\CompPress.vbs'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\id_e2a96aa9
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '<SYSTEM32>\wscript.exe' //b "%APPDATA%\gHjsfrf.vbs"
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\ghjsfrf.vbs
- %APPDATA%\microsoft\windows\comppress\comppress.vbs
Удаляет следующие файлы
- %APPDATA%\ghjsfrf.vbs
Сетевая активность
TCP
Запросы HTTP GET
- http://kr###in.website/vwasntvzioo_E2A96AA9/index_15_04.php
UDP
- DNS ASK kr###in.website
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' //b "%APPDATA%\gHjsfrf.vbs"' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /SC MINUTE /MO 13 /F /tn ID_E2A96AA9 /tr %APPDATA%\Microsoft\Windows\CompPress\CompPress.vbs' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /Create /SC MINUTE /MO 13 /F /tn ID_E2A96AA9 /tr %APPDATA%\Microsoft\Windows\CompPress\CompPress.vbs
