Техническая информация
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\libraries\smartscreen'
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\wbem\wmic.exe' process call create 'C:\Users\Public\Libraries/smartscreen'
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\libraries\smartscreen
- %TEMP%\putty_3020_0.chm
- %APPDATA%\microsoft\html help\hh.dat
- %TEMP%\imte530.tmp
Сетевая активность
Подключается к
- 'br###stone.ru':443
- 'oc##.thawte.com':80
- 'oc##.#tartssl.com':80
TCP
Запросы HTTP GET
- http://oc##.thawte.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBQwF4prw9S7mCbCEHD%2Fyl6nWPkczAQUe1tFz6%2FOy3r9MZIaarbzRutXSFACEEeXTXhzpbyrDS%2BzcBkvzl4%3D
- http://oc##.#tartssl.com/sub/class2/code/ca/MEMwQTA%2FMD0wOzAJBgUrDgMCGgUABBQSOgrhRCSnWfKxoWTjWxhk8hga9AQU0E4PQJlsuEsZbzsouODjiAc0qrcCAhAV
Другие
- 'br###stone.ru':443
UDP
- DNS ASK br###stone.ru
- DNS ASK oc##.thawte.com
- DNS ASK oc##.#tartssl.com
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\wbem\wmic.exe' process call create 'C:\Users\Public\Libraries/smartscreen'' (со скрытым окном)
