Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует главную загрузочную запись (MBR).
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im conhoy.exe
- '<SYSTEM32>\taskkill.exe' /f /im powershell.exe
Сетевая активность
Подключается к
- '13#.#.177.32':80
- '77.#3.69.34':8034
- 'sh###.#oader0807.site':80
- 'sh###.#oader0324.site':80
- '10#.#06.250.161':8161
- '10#.#33.207.172':8172
TCP
Запросы HTTP GET
- http://13#.#.177.32/shell.txt
- http://13#.#.177.32/64.txt
- http://sh###.#oader0807.site/TestAV64.dat
- http://sh###.#oader0324.site/FuckAV64.dat
- http://10#.###.250.161:8161/download.txt via 10#.#06.250.161
UDP
- DNS ASK sh###.#oader0807.site
- DNS ASK sh###.#oader0324.site
Другое
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /run /tn oka
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im conhoy.exe
- '<SYSTEM32>\cmd.exe' /c icacls %WINDIR%\temp\*.exe /reset
- '<SYSTEM32>\icacls.exe' %WINDIR%\temp\*.exe /reset
- '<SYSTEM32>\cmd.exe' /c schtasks /create /tn MicrosoftsWindowsy /tr %WINDIR%\temp\conhoy.exe /ru system /sc minute /mo 8 /f
- '<SYSTEM32>\schtasks.exe' /create /tn MicrosoftsWindowsy /tr %WINDIR%\temp\conhoy.exe /ru system /sc minute /mo 8 /f
- '<SYSTEM32>\schtasks.exe' /run /tn MicrosoftsWindowsy
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im powershell.exe
