Техническая информация
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\temp\cab1b5f.tmp
- %WINDIR%\temp\tar1b60.tmp
- %WINDIR%\temp\cab1c1d.tmp
- %WINDIR%\temp\tar1c1e.tmp
- %APPDATA%\bit198a.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\bit198a.tmp
Удаляет следующие файлы
- %WINDIR%\temp\cab1b5f.tmp
- %WINDIR%\temp\tar1b60.tmp
- %WINDIR%\temp\cab1c1d.tmp
- %WINDIR%\temp\tar1c1e.tmp
Перемещает следующие файлы
- %APPDATA%\bit198a.tmp в %APPDATA%\forklelses.dri
Сетевая активность
Подключается к
- 'cd#.##scordapp.com':443
- 'co####.msd.biz.id':443
- 'pk#.goog':80
TCP
Запросы HTTP GET
- http://pk#.goog/gsr1/gsr1.crt
Другие
- 'cd#.##scordapp.com':443
- 'co####.msd.biz.id':443
UDP
- DNS ASK cd#.##scordapp.com
- DNS ASK co####.msd.biz.id
- DNS ASK pk#.goog
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "<#Afvaskninger Inland Censormdernes recontract Tunika Greenfinch #>;<#Overfoerer Selvjustitsen Valders Kindliest Chefkonsulenternes #>;New-Item -Path 'Brusning:\Bybussers' -Name 'Testningens' ...' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "<#Afvaskninger Inland Censormdernes recontract Tunika Greenfinch #>;<#Overfoerer Selvjustitsen Valders Kindliest Chefkonsulenternes #>;New-Item -Path 'Brusning:\Bybussers' -Name 'Testningens' ...
- '<SYSTEM32>\cmd.exe' /c "echo 1 && exit"
