Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\adobe acrobat player task
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '<SYSTEM32>\wscript.exe' //b /e:jscript %TEMP%\crashpad.ini
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c wscript.exe //b /e:jscript %TEMP%\crashpad.ini
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\crashpad.ini
- %TEMP%\uspebc.txt
- %APPDATA%\microsoft\windows\{4e50c345-7a4b-6e6a-5ca1-5a5969776f43}\crashpad.log
Удаляет следующие файлы
- %TEMP%\crashpad.ini
Сетевая активность
Подключается к
- '85.#3.2.148':443
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' //b /e:jscript %APPDATA%\Microsoft\Windows\{4e50c345-7a4b-6e6a-5ca1-5a5969776f43}\crashpad.log
- '<SYSTEM32>\cmd.exe' /c wscript.exe //b /e:jscript %TEMP%\crashpad.ini' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /f /tn "Adobe Acrobat Player Task" /tr "wscript.exe //b /e:jscript %APPDATA%\Microsoft\Windows\{4e50c345-7a4b-6e6a-5ca1-5a5969776f43}\crashpad.log" /sc minute /mo 1' (со скрытым окном)
- '<SYSTEM32>\wscript.exe' //b /e:jscript %APPDATA%\Microsoft\Windows\{4e50c345-7a4b-6e6a-5ca1-5a5969776f43}\crashpad.log' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /Create /f /tn "Adobe Acrobat Player Task" /tr "wscript.exe //b /e:jscript %APPDATA%\Microsoft\Windows\{4e50c345-7a4b-6e6a-5ca1-5a5969776f43}\crashpad.log" /sc minute /mo 1
- '<SYSTEM32>\taskeng.exe' {AFD26ED5-6187-49FC-9807-2BA3369FBEDA} S-1-5-21-1960123792-2022915161-3775307078-1001:fhhrhrestrm\user:Interactive:[1]
