Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\kwbilljvbh.url
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- regasm.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ethlargementpill-ethos-installation.txt
- %TEMP%\jendbarxejxxpqs\regasm.exe
- %APPDATA%\qrdwrsntsq\lylrfobevee.js
- %APPDATA%\qrdwrsntsq\sembrano.vstx
- %APPDATA%\qrdwrsntsq\kwbilljvbh.com
- %APPDATA%\qrdwrsntsq\otfzho
- %TEMP%\eiskykmjnftycb\buon.com
- %TEMP%\jendbarxejxxpqs\assorto.com
- %TEMP%\jendbarxejxxpqs\veda.mp4
- %TEMP%\jendbarxejxxpqs\tue.iso
- %TEMP%\jendbarxejxxpqs\sembrano.vstx
- %TEMP%\eiskykmjnftycb\regasm.exe
- %TEMP%\jendbarxejxxpqs\ritornarvi.midi
- %TEMP%\eiskykmjnftycb\sei.pot
- %TEMP%\eiskykmjnftycb\padronanza.mid
- %TEMP%\eiskykmjnftycb\ora.docx
- %TEMP%\eiskykmjnftycb\contratte.mp4
- %TEMP%\eiskykmjnftycb\baciandola.dll
- %TEMP%\verci.exe
- %TEMP%\valmort.exe
- %TEMP%\readme.md
- %TEMP%\ohgodanethlargementpill-r2
- %TEMP%\ethlargementpill-r2.exe
- %TEMP%\jendbarxejxxpqs\chiederai.potm
- %APPDATA%\logs\03-11-2021
Удаляет следующие файлы
- %TEMP%\jendbarxejxxpqs\ritornarvi.midi
- %TEMP%\jendbarxejxxpqs\sembrano.vstx
- %TEMP%\verci.exe
- %TEMP%\eiskykmjnftycb\baciandola.dll
Сетевая активность
Подключается к
- 'ip##pi.com':80
- '95.##7.151.132':111
- '95.##7.151.132':35200
TCP
- '95.##7.151.132':111
UDP
- DNS ASK Ch###########JETDkjvKC.ChtdMqrKchZxZJETDkjvKC
- DNS ASK iM#######uWVwQ.iMkvjsBGRuWVwQ
- DNS ASK ip##pi.com
Другое
Создает и запускает на исполнение
- '%TEMP%\ethlargementpill-r2.exe' ETHlargementPill-r2.exe
- '%TEMP%\valmort.exe' valmort.exe
- '%TEMP%\verci.exe' verci.exe
- '%TEMP%\jendbarxejxxpqs\assorto.com' Ritornarvi.midi
- '%TEMP%\eiskykmjnftycb\buon.com' Sei.pot
- '%TEMP%\jendbarxejxxpqs\regasm.exe'
- '%TEMP%\eiskykmjnftycb\regasm.exe'
- '%WINDIR%\syswow64\cmd.exe' /c echo KHfNXAvalmort.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo sHkzverci.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c cmd < Chiederai.potm' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c cmd < Ora.docx' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c echo KHfNXAvalmort.exe
- '%WINDIR%\syswow64\cmd.exe' /c echo sHkzverci.exe
- '%WINDIR%\syswow64\cmd.exe' /c cmd < Chiederai.potm
- '%WINDIR%\syswow64\cmd.exe' /c cmd < Ora.docx
- '%WINDIR%\syswow64\cmd.exe'
- '%WINDIR%\syswow64\findstr.exe' /V /R "^iAGhdoaXYGTeCNeGiErsJIYzcoQJhXThtzilxKfZknQDPJCTpzsVrOxmChSiaJJwMGYpFSkbftukRcEMFWmUF$" Veda.mp4
- '%WINDIR%\syswow64\findstr.exe' /V /R "^kRYFOsjupPamEFsjPAYVlIQPkpTSlpZpspGLlJCADfbsSYsGVCAKHwUCwpzEnzVqQoicZFeuYnsVlnXjSjXIIf$" Contratte.mp4
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 30
