Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\fix.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\payload.ps1
- %TEMP%\u0m9vldc.0.cs
- %TEMP%\u0m9vldc.cmdline
- %TEMP%\u0m9vldc.out
- %TEMP%\cscebed.tmp
- %TEMP%\resec2d.tmp
- %TEMP%\u0m9vldc.dll
Удаляет следующие файлы
- %TEMP%\resec2d.tmp
- %TEMP%\cscebed.tmp
- %TEMP%\u0m9vldc.pdb
- %TEMP%\u0m9vldc.out
- %TEMP%\u0m9vldc.cmdline
- %TEMP%\u0m9vldc.0.cs
- %TEMP%\u0m9vldc.dll
Сетевая активность
Подключается к
- '2.###.ngrok.io':14985
TCP
- 'pa###bin.com':443
UDP
- DNS ASK pa###bin.com
- DNS ASK 2.###.ngrok.io
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -executionpolicy bypass -noprofile -windowstyle hidden -noexit -file %TEMP%\payload.ps1
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -executionpolicy bypass -noprofile -windowstyle hidden -noexit -file %TEMP%\payload.ps1' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\u0m9vldc.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEC2D.tmp" "%TEMP%\CSCEBED.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\u0m9vldc.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESEC2D.tmp" "%TEMP%\CSCEBED.tmp"
