Техническая информация
Вредоносные функции
Загружает и запускает на исполнение
- $webfile как %appdata%\$asser
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\ass
- %APPDATA%\hosts
Удаляет следующие файлы
- %APPDATA%\ass
- <DRIVERS>\etc\hosts
Подменяет файл HOSTS.
Сетевая активность
Подключается к
- 'drive.google.com':443
- 'do#########ocs.googleusercontent.com':443
TCP
Другие
- 'drive.google.com':443
- 'do#########ocs.googleusercontent.com':443
UDP
- DNS ASK drive.google.com
- DNS ASK do#########ocs.googleusercontent.com
Другое
Ищет следующие окна
- ClassName: 'ConsoleWindowClass' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c powershell -exec bypass -enc UwBlAHQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AcABhAHQAaAAgAEMAOgBcACAALQBFAHgAYwBsAHUAcwBpAG8AbgBFAHgAdABlAG4AcwBpAG8AbgAgAHYAYgBzACwAZ...
- '<SYSTEM32>\reg.exe' import %APPDATA%\ass
