Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c ipconfig > %LOCALAPPDATA%\Temp/ip.txt
- '%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 2080
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ip.txt
- %HOMEPATH%\application data\microsoft\forms\winword.box
- %TEMP%\1170693.cvr
Удаляет следующие файлы
- %TEMP%\ip.txt
Сетевая активность
Подключается к
- 'pr#######sv.resilienciagrp.co':443
- 'pk#.goog':80
TCP
Запросы HTTP GET
- http://pk#.goog/gsr1/gsr1.crt
Другие
- 'pr#######sv.resilienciagrp.co':443
UDP
- DNS ASK pr#######sv.resilienciagrp.co
- DNS ASK pk#.goog
- DNS ASK ca######.integrasecs.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ipconfig > %LOCALAPPDATA%\Temp/ip.txt' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\ipconfig.exe'
