Техническая информация
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '%WINDIR%\syswow64\cscript.exe' %TEMP%\rht.vbs A C
Запускает на исполнение (эксплоит)
- '%WINDIR%\syswow64\cmd.exe' /C cscript %tmp%\rht.vbs A C
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $BD5F26AD6BD86BAE184191A0D6CBD69183240C9341AD31850E177786BC90BC77691AE2691784276AD40D5D5C9286925D4F=@(40,36,97,61,36,97,61,87,114,105,116,101,45,72,111,115,116,32,39,124,124,42,42,124,124,42,42...
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- firefox.exe
Перехватывает функции
в браузерах
- Процесс firefox.exe, модуль nss3.dll
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\syswow64\autofmt.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rht.vbs
Сетевая активность
TCP
Запросы HTTP GET
- http://cd#.##scordapp.com/attachments/733818080668680222/758418742899900527/tsu.jpg
- http://cd#.##scordapp.com/attachments/733818080668680222/758418625429372978/p2.jpg
UDP
- DNS ASK cd#.##scordapp.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C cscript %tmp%\rht.vbs A C' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $BD5F26AD6BD86BAE184191A0D6CBD69183240C9341AD31850E177786BC90BC77691AE2691784276AD40D5D5C9286925D4F=@(40,36,97,61,36,97,61,87,114,105,116,101,45,72,111,115,116,32,39,124,124,42,42,124,124,42,42...' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\cmd.exe' /c sc query wcncsvc >> A C
- '%WINDIR%\syswow64\calc.exe'
- '%WINDIR%\syswow64\wlanext.exe'
- '%WINDIR%\syswow64\systray.exe'
- '%WINDIR%\syswow64\msdt.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%WINDIR%\syswow64\calc.exe"
