Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /im "<Имя файла>.exe" /f
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\{846ee340-7039-11de-9d20-806e6f6e6963}\4r6itlh8npj.exe
Самоудаляется.
Сетевая активность
Подключается к
- '45.##9.105.171':80
- '10#.#82.129.235':80
- '17#.#2.30.106':80
TCP
Запросы HTTP GET
- http://45.##9.105.171/itsnotmalware/count.php?su######################################
- http://45.##9.105.171/itsnotmalware/count.php?su#######################################
- http://10#.#82.129.235/storage/ping.php
- http://10#.#82.129.235/storage/extension.php
- http://17#.#2.30.106/library.php
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\{846ee340-7039-11de-9d20-806e6f6e6963}\4r6itlh8npj.exe'
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im "<Имя файла>.exe" /f & erase "<Полный путь к файлу>" & exit' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im "<Имя файла>.exe" /f & erase "<Полный путь к файлу>" & exit
