Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /FI "IMAGENAME eq acs*"
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\arise\cms-r17\cms17.reg
- %TEMP%\arise\wget\gpl\wget-1.11.4-1-src.7z
- %TEMP%\arise\wget\gpl\gpl-3.0.txt
- %TEMP%\arise\run.bat
- %TEMP%\arise\wget\bin\wget.exe
- %TEMP%\arise\wget\bin\libeay32.dll
- %TEMP%\arise\wget\bin\libiconv2.dll
- %TEMP%\arise\wget\bin\libintl3.dll
- %TEMP%\arise\wget\bin\libssl32.dll
- nul
Изменяет файл HOSTS.
Сетевая активность
Подключается к
- 'su####t.arise.com':443
TCP
Другие
- 'su####t.arise.com':443
UDP
- DNS ASK su####t.arise.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\arise\wget\bin\wget.exe' -t 0 -c --read-timeout=30 https://support.arise.com/arisefiles/CMS/cms-r17_LA18.exe --no-check-certificate
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Arise\run.bat" "
- '%WINDIR%\syswow64\reg.exe' delete "HKCU\Software\Avaya\Supervisor\17.0" /va /f
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1
- '%WINDIR%\syswow64\regedit.exe' /s "%TEMP%\Arise\CMS-R17\cms17.reg"
- '%WINDIR%\syswow64\find.exe' /i "Spoken-CMS1"
- '%WINDIR%\syswow64\find.exe' /i "Spoken-CMS2"
- '%WINDIR%\syswow64\find.exe' /i "Spoken-CMS1-SSH"
- '%WINDIR%\syswow64\find.exe' /i "Carnival-CMS"
- '%WINDIR%\syswow64\find.exe' /i "ComcastGBR-WNE-CMS"
- '%WINDIR%\syswow64\find.exe' /i "ComcastBeltway-CMS"
- '%WINDIR%\syswow64\find.exe' /i "Disney-CMS1"
- '%WINDIR%\syswow64\find.exe' /i "Disney-CMS2"
- '%WINDIR%\syswow64\find.exe' /i "Orkin-CMS"
