Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\updates\rygdmaitmqeb
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\vbc.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- vbc.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\vbc.exe
- %APPDATA%\rygdmaitmqeb.exe
- %TEMP%\tmp79ff.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\rygdmaitmqeb.exe
Удаляет следующие файлы
- %TEMP%\tmp79ff.tmp
Сетевая активность
Подключается к
- '19#.#10.149.27':80
- 'ro####ggomogc.xyz':80
- 'xm#####ppinglist.com':80
- 'ca##.care':80
- 'aa###day.info':80
- 'pa####itatelier.com':80
- 'sw######anesepuppies.com':80
- 'bk##p.com':80
- 've####s-eis.info':80
- 'ki####eycondo.com':80
TCP
Запросы HTTP GET
- http://19#.#10.149.27/115/vbc.exe
- http://www.ro####ggomogc.xyz/n6g4/?NJ###########################################################################################
- http://www.xm#####ppinglist.com/n6g4/?NJ###########################################################################################
- http://www.ca##.care/n6g4/?NJ###########################################################################################
- http://www.aa###day.info/n6g4/?NJ###########################################################################################
- http://www.pa####itatelier.com/n6g4/?NJ###########################################################################################
- http://www.ev###hat.com/n6g4/?NJ###########################################################################################
- http://www.sw######anesepuppies.com/n6g4/?NJ###########################################################################################
- http://www.bk##p.com/n6g4/?NJ###########################################################################################
- http://www.ve####s-eis.info/n6g4/?NJ###########################################################################################
- http://www.ki####eycondo.com/n6g4/?NJ###########################################################################################
UDP
- DNS ASK ro####ggomogc.xyz
- DNS ASK su###cking.com
- DNS ASK xm#####ppinglist.com
- DNS ASK ca##.care
- DNS ASK hy######ntelligence.global
- DNS ASK aa###day.info
- DNS ASK ca###it.store
- DNS ASK se####etip.online
- DNS ASK pa####itatelier.com
- DNS ASK ev###hat.com
- DNS ASK sw######anesepuppies.com
- DNS ASK bk##p.com
- DNS ASK ve####s-eis.info
- DNS ASK ki####eycondo.com
- DNS ASK ha####rviewob.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\rYGDmaItmQEb.exe"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\rYGDmaItmQEb.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\rYGDmaItmQEb" /XML "%TEMP%\tmp79FF.tmp"' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\rYGDmaItmQEb" /XML "%TEMP%\tmp79FF.tmp"
- '%WINDIR%\syswow64\msdt.exe'
