Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windows securitya
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\microsoft\security\windows securitya.exe
- nul
- %TEMP%\tmp6d81.vbs
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\microsoft\security\windows securitya.exe
Удаляет следующие файлы
- %TEMP%\tmp6d81.vbs
Самоудаляется.
Сетевая активность
Подключается к
- '78.##.98.158':27941
TCP
Запросы HTTP POST
- http://78.##.98.158:27941/server/ via 78.##.98.158
Другое
Создает и запускает на исполнение
- '%APPDATA%\microsoft\security\windows securitya.exe'
- '<SYSTEM32>\cscript.exe' //nologo %TEMP%\tmp6D81.vbs
- '%APPDATA%\microsoft\security\windows securitya.exe' ' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c timeout 3 > nul & powershell -command "$ErrorActionPreference= 'silentlycontinue'; (Get-WmiObject Win32_Process | Where-Object { $_.Path.StartsWith('<Полный путь к файлу>') }).Terminate()" &...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c @echo off & echo const TriggerTypeLogon=9 : const ActionTypeExecutable=0 : const TASK_LOGON_INTERACTIVE_TOKEN=3 : const createOrUpdateTask=6 : Set service=CreateObject("Schedule.Service") : ...' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c timeout 3 > nul & powershell -command "$ErrorActionPreference= 'silentlycontinue'; (Get-WmiObject Win32_Process | Where-Object { $_.Path.StartsWith('<Полный путь к файлу>') }).Terminate()" &...
- '<SYSTEM32>\cmd.exe' /c @echo off & echo const TriggerTypeLogon=9 : const ActionTypeExecutable=0 : const TASK_LOGON_INTERACTIVE_TOKEN=3 : const createOrUpdateTask=6 : Set service=CreateObject("Schedule.Service") : ...
- '<SYSTEM32>\timeout.exe' 3
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "$ErrorActionPreference= 'silentlycontinue'; (Get-WmiObject Win32_Process | Where-Object { $_.Path.StartsWith('<Полный путь к файлу>') }).Terminate()"
- '<SYSTEM32>\choice.exe' /C Y /N /D Y /T 3
- '<SYSTEM32>\cmd.exe' /c powershell -command "$adapterString = (Get-ItemProperty -Path \"HKLM:\\SYSTEM\\ControlSet001\\Control\\Class\\{4d36e968-e325-11ce-bfc1-08002be10318}\\0*\" -Name HardwareInformation.AdapterSt...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "$adapterString = (Get-ItemProperty -Path \"HKLM:\\SYSTEM\\ControlSet001\\Control\\Class\\{4d36e968-e325-11ce-bfc1-08002be10318}\\0*\" -Name HardwareInformation.AdapterString -ErrorAct...
- '<SYSTEM32>\cmd.exe' /c powershell -command "$qwMemorySize = (Get-ItemProperty -Path \"HKLM:\\SYSTEM\\ControlSet001\\Control\\Class\\{4d36e968-e325-11ce-bfc1-08002be10318}\\0*\" -Name HardwareInformation.qwMemorySi...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "$qwMemorySize = (Get-ItemProperty -Path \"HKLM:\\SYSTEM\\ControlSet001\\Control\\Class\\{4d36e968-e325-11ce-bfc1-08002be10318}\\0*\" -Name HardwareInformation.qwMemorySize -ErrorActio...
