Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\wfyoot.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\e913e987ff\wfyoot.exe
- %APPDATA%\253fa33afbb5b2\cred.dll
Сетевая активность
Подключается к
- 'ds#######downloadsprospect.com':80
- '<LOCALNET>.19.82':80
TCP
Запросы HTTP GET
- http://ds#######downloadsprospect.com/nkg3skjvSaq2/Plugins/cred.dll
Запросы HTTP POST
- http://ds#######downloadsprospect.com/nkg3skjvSaq2/index.php
UDP
- DNS ASK ds#######downloadsprospect.com
Другое
Создает и запускает на исполнение
- '%TEMP%\e913e987ff\wfyoot.exe'
- '%TEMP%\e913e987ff\wfyoot.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 1 /TN wfyoot.exe /TR "%TEMP%\e913e987ff\wfyoot.exe" /F' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' %APPDATA%\253fa33afbb5b2\cred.dll, Main' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 1 /TN wfyoot.exe /TR "%TEMP%\e913e987ff\wfyoot.exe" /F
- '<SYSTEM32>\taskeng.exe' {01F8E47A-682A-47A9-9820-FF31CDABD8BC} S-1-5-21-1960123792-2022915161-3775307078-1001:mieertu\user:Interactive:[1]
- '%WINDIR%\syswow64\rundll32.exe' %APPDATA%\253fa33afbb5b2\cred.dll, Main
