Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
изменяет следующие системные настройки:
- Изменяет DNS-сервер на '47.52.19.202'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\273e.tmp\273f.bat
- %TEMP%\273e.tmp\results.txt
Удаляет следующие файлы
- %TEMP%\273e.tmp\results.txt
- %TEMP%\273e.tmp\273f.bat
Сетевая активность
UDP
- DNS ASK microsoft.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\273E.tmp\273F.bat <Полный путь к файлу>"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\273E.tmp\273F.bat <Полный путь к файлу>"
- '<SYSTEM32>\cmd.exe' /c route print |findstr "\<0.0.0.0\>"
- '<SYSTEM32>\route.exe' print
- '<SYSTEM32>\findstr.exe' "\<0.0.0.0\>"
- '<SYSTEM32>\cmd.exe' /c wmic nicconfig get DefaultIPGateway,IPAddress,Description |findstr "10.0.63.1"|findstr "10.0.63.52"
- '<SYSTEM32>\wbem\wmic.exe' nicconfig get DefaultIPGateway,IPAddress,Description
- '<SYSTEM32>\findstr.exe' "10.0.63.1"
- '<SYSTEM32>\findstr.exe' "10.0.63.52"
- '<SYSTEM32>\cmd.exe' /c wmic nic where "NAME='Intel(R) PRO/1000 MT Desktop Adapter'" get NetConnectionID /value
- '<SYSTEM32>\wbem\wmic.exe' nic where "NAME='Intel(R) PRO/1000 MT Desktop Adapter'" get NetConnectionID /value
- '<SYSTEM32>\netsh.exe' interface ip set dns "L" static 47.52.19.202
