Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\69577.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /IM cmd.exe /F
Внедряет код в
следующие пользовательские процессы:
- 69577.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\syswow64\cmd.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\sdszfo.docx
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\69577.exe
- %WINDIR%\syswow64\r.bat
Сетевая активность
Подключается к
- 'bi#.ly':80
- 'na##1d.site':80
- 'na###050.com':8080
TCP
Запросы HTTP POST
- http://na####50.com:8080/upld/CECBDBE9 via na###050.com
UDP
- DNS ASK bi#.ly
- DNS ASK na##1d.site
- DNS ASK na###050.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.doc" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.tar" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.zip" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.rar" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.ppa" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.pps" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.pot" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.accdb" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.mdb" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.rtf" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.csv" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.xl" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.dot" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.ppt" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.pdf" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.7z" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.doc" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.tar" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.zip" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.rar" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.ppa" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.pps" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.pot" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.accdb" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.mdb" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.rtf" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.csv" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.xl" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.dot" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.ppt" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.pdf" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.7z" /S /B /A' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c start /min r.bat' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.xl" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.csv" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.rtf" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.mdb" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.accdb" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.ppt" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.dot" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.pot" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.rar" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.zip" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.tar" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.7z" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /c start /min r.bat
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.pps" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.ppa" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.pdf" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "d:\*.doc" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.7z" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.pdf" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.ppt" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.dot" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.xl" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.csv" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.rtf" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.doc" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.mdb" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.pot" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.pps" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.ppa" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.rar" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.zip" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.tar" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /U /C DIR "\Users\user\*.accdb" /S /B /A
- '%WINDIR%\syswow64\cmd.exe' /K r.bat
- '%WINDIR%\syswow64\cmd.exe' /min /c del "<SYSTEM32>\r.bat"
