Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\windows.update.dur-2021-0101.lnk
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- powermonster.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-icss5.tmp\<Имя файла>.tmp
- C:\users\public\documents\unzip.lnk
- C:\users\public\documents\unzip.exe
- C:\users\public\documents\unzip.dat
- C:\users\public\documents\server.vbe
- C:\users\public\documents\powermonster.exe
- C:\users\public\documents\ddupmanage.dll
- C:\users\public\documents\server.dat
- C:\users\public\documents\iboxhelper.dll
- C:\users\public\documents\ycardhelper.dll
- C:\users\public\documents\dat
- C:\users\administrator\appdata\roaming\telegram deskto\is-ho26o.tmp
- C:\users\administrator\appdata\roaming\telegram deskto\is-p6pas.tmp
- C:\users\administrator\appdata\roaming\telegram deskto\is-l709h.tmp
- C:\users\administrator\appdata\roaming\telegram deskto\is-nqfta.tmp
- C:\users\administrator\appdata\roaming\telegram deskto\is-rh12n.tmp
- %TEMP%\is-rlq6l.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-rlq6l.tmp\_isetup\_setup64.tmp
- %TEMP%\is-rlq6l.tmp\_isetup\_regdll.tmp
- C:\users\administrator\appdata\roaming\telegram deskto\unins000.dat
- %WINDIR%\temp\fwtsqmfile01.sqm
Удаляет следующие файлы
- %TEMP%\is-rlq6l.tmp\_isetup\_regdll.tmp
- %TEMP%\is-rlq6l.tmp\_isetup\_setup64.tmp
- %TEMP%\is-rlq6l.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-icss5.tmp\<Имя файла>.tmp
- C:\users\public\documents\unzip.exe
- C:\users\public\documents\server.vbe
- C:\users\public\documents\unzip.lnk
- C:\users\public\documents\server.dat
- C:\users\public\documents\server.dll
- C:\users\public\documents\unzip.dat
Перемещает следующие файлы
- C:\users\administrator\appdata\roaming\telegram deskto\is-rh12n.tmp в C:\users\administrator\appdata\roaming\telegram deskto\unins000.exe
- C:\users\administrator\appdata\roaming\telegram deskto\is-nqfta.tmp в C:\users\administrator\appdata\roaming\telegram deskto\bass.dll
- C:\users\administrator\appdata\roaming\telegram deskto\is-l709h.tmp в C:\users\administrator\appdata\roaming\telegram deskto\bassflac.dll
- C:\users\administrator\appdata\roaming\telegram deskto\is-p6pas.tmp в C:\users\administrator\appdata\roaming\telegram deskto\basswma.dll
- C:\users\administrator\appdata\roaming\telegram deskto\is-ho26o.tmp в C:\users\administrator\appdata\roaming\telegram deskto\freecountdowntimer.exe
Сетевая активность
Подключается к
- '17#.#47.223.130':8975
- 'bi###u9918.com':9913
TCP
Запросы HTTP GET
- http://17#.###.223.130:8975/dat via 17#.#47.223.130
- http://17#.###.223.130:8975/IBoxHelper.dll via 17#.#47.223.130
Другие
- 'bi###u9918.com':9913
UDP
- DNS ASK bi###u9918.com
Другое
Создает и запускает на исполнение
- '%TEMP%\is-icss5.tmp\<Имя файла>.tmp' /SL5="$B0236,3634400,54272,<Полный путь к файлу>"
- 'C:\users\administrator\appdata\roaming\telegram deskto\freecountdowntimer.exe'
- '%WINDIR%\syswow64\wscript.exe' "C:\Users\Public\Documents\Server.vbe"
- 'C:\users\public\documents\powermonster.exe'
- 'C:\users\public\documents\unzip.exe' -o -P Startup8888 C:\Users\Public\Documents\unzip.dat -d "%APPDATA%"
- '%WINDIR%\syswow64\wscript.exe' "C:\Users\Public\Documents\Server.vbe"' (со скрытым окном)
- 'C:\users\public\documents\powermonster.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del /q C:\Users\Administrator\AppData\Roaming\Telegram Deskto\FreeCountdownTimer.exe' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c del /q C:\Users\Administrator\AppData\Roaming\Telegram Deskto\FreeCountdownTimer.exe
