Техническая информация
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\temp\cab495e.tmp
- %WINDIR%\temp\tard6f9.tmp
- %WINDIR%\temp\cabd6f8.tmp
- %WINDIR%\temp\tarbfb0.tmp
- %WINDIR%\temp\cabbfaf.tmp
- %WINDIR%\temp\tarbf40.tmp
- %WINDIR%\temp\cabbf3f.tmp
- %WINDIR%\temp\tara8e1.tmp
- %WINDIR%\temp\caba8e0.tmp
- %WINDIR%\temp\tara834.tmp
- %WINDIR%\temp\caba833.tmp
- %WINDIR%\temp\tar91b5.tmp
- %WINDIR%\temp\cab91b4.tmp
- %WINDIR%\temp\tar9127.tmp
- %WINDIR%\temp\cab9126.tmp
- %WINDIR%\temp\tar7a3b.tmp
- %WINDIR%\temp\cab7a2b.tmp
- %WINDIR%\temp\tar7a1a.tmp
- %WINDIR%\temp\cab7a19.tmp
- %WINDIR%\temp\tar798c.tmp
- %WINDIR%\temp\cab798b.tmp
- %WINDIR%\temp\tar78af.tmp
- %WINDIR%\temp\cab78ae.tmp
- %WINDIR%\temp\tar6211.tmp
- %WINDIR%\temp\cab6210.tmp
- %WINDIR%\temp\tar6154.tmp
- %WINDIR%\temp\cab6153.tmp
- %WINDIR%\temp\tar495f.tmp
- %WINDIR%\temp\cab1d0e.tmp
- %WINDIR%\temp\tar1d0f.tmp
Удаляет следующие файлы
- %WINDIR%\temp\cab495e.tmp
- %WINDIR%\temp\tard6f9.tmp
- %WINDIR%\temp\cabd6f8.tmp
- %WINDIR%\temp\tarbfb0.tmp
- %WINDIR%\temp\cabbfaf.tmp
- %WINDIR%\temp\tarbf40.tmp
- %WINDIR%\temp\cabbf3f.tmp
- %WINDIR%\temp\tara8e1.tmp
- %WINDIR%\temp\caba8e0.tmp
- %WINDIR%\temp\tara834.tmp
- %WINDIR%\temp\caba833.tmp
- %WINDIR%\temp\tar91b5.tmp
- %WINDIR%\temp\cab91b4.tmp
- %WINDIR%\temp\tar9127.tmp
- %WINDIR%\temp\cab9126.tmp
- %WINDIR%\temp\tar7a3b.tmp
- %WINDIR%\temp\cab7a2b.tmp
- %WINDIR%\temp\tar7a1a.tmp
- %WINDIR%\temp\cab7a19.tmp
- %WINDIR%\temp\tar798c.tmp
- %WINDIR%\temp\cab798b.tmp
- %WINDIR%\temp\tar78af.tmp
- %WINDIR%\temp\cab78ae.tmp
- %WINDIR%\temp\tar6211.tmp
- %WINDIR%\temp\cab6210.tmp
- %WINDIR%\temp\tar6154.tmp
- %WINDIR%\temp\cab6153.tmp
- %WINDIR%\temp\tar495f.tmp
- %WINDIR%\temp\cab1d0e.tmp
- %WINDIR%\temp\tar1d0f.tmp
Самоперемещается
- из <Полный путь к файлу> в <Текущая директория>\7gjzbznbsk.exe
Сетевая активность
Подключается к
- 'localhost':49185
- 'localhost':49187
- 'ke##uth.win':443
- 'x1.#.lencr.org':80
- 'x2.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
- http://x2.#.lencr.org/
Другие
- 'localhost':49185
- 'localhost':49187
- 'localhost':49188
- 'ke##uth.win':443
UDP
- DNS ASK ke##uth.win
- DNS ASK x1.#.lencr.org
- DNS ASK x2.#.lencr.org
Другое
Ищет следующие окна
- ClassName: 'Qt5QWindowIcon' WindowName: ''
- ClassName: 'ProcessHacker' WindowName: ''
- ClassName: 'MainWindowClassName' WindowName: ''
- ClassName: 'WdcWindow' WindowName: ''
- ClassName: 'Qt5153QTQWindowIcon' WindowName: ''
- ClassName: 'Window' WindowName: ''
- ClassName: 'WindowsForms10.Window.8.app.0.378734a' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c certutil -hashfile "<Полный путь к файлу>" MD5 | find /i /v "md5" | find /i /v "certutil"
- '<SYSTEM32>\certutil.exe' -hashfile "<Полный путь к файлу>" MD5
- '<SYSTEM32>\find.exe' /i /v "md5"
- '<SYSTEM32>\find.exe' /i /v "certutil"
- '<SYSTEM32>\cmd.exe' /c start cmd /C "color b && title Error && echo SSL connect error && timeout /t 5"
- '<SYSTEM32>\cmd.exe' /C "color b && title Error && echo SSL connect error && timeout /t 5"
- '<SYSTEM32>\timeout.exe' /t 5
