Техническая информация
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '<SYSTEM32>\wscript.exe' "%TEMP%\LL2h.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\w5I.vbs"
Запускает на исполнение (эксплоит)
- '%WINDIR%\explorer.exe' %TEMP%\LL2h.vbs
- '%WINDIR%\explorer.exe' %TEMP%\w5I.vbs
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ll2h.vbs
- %TEMP%\bwzwi.txt
- %TEMP%\w5i.vbs
Удаляет следующие файлы
- %TEMP%\ll2h.vbs
- %TEMP%\bwzwi.txt
- %TEMP%\w5i.vbs
Сетевая активность
TCP
Запросы HTTP GET
- http://an#####adrilling.com/wp-keys.php
UDP
- DNS ASK an#####adrilling.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\explorer.exe' %TEMP%\LL2h.vbs' (со скрытым окном)
- '<SYSTEM32>\wscript.exe' "%TEMP%\LL2h.vbs"' (со скрытым окном)
- '%WINDIR%\explorer.exe' %TEMP%\w5I.vbs' (со скрытым окном)
- '<SYSTEM32>\wscript.exe' "%TEMP%\w5I.vbs"' (со скрытым окном)
