Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\rundll32.exe' shell32.dll,ShellExec_RunDLL %LOCALAPPDATA%\Temp9uij23hnguiseghwfgj8932hgkhwgsdkljh824g.lnk
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\.ssh\dddfhj349hjlf20ghjsajf32.dll
- %LOCALAPPDATA%\temp9uij23hnguiseghwfgj8932hgkhwgsdkljh824g.lnk
Перемещает следующие файлы
- %ALLUSERSPROFILE%\.ssh\dddfhj349hjlf20ghjsajf32.dll в %TEMP%\y2sidjnogkz284.dll
- %TEMP%\y2sidjnogkz284.dll в %TEMP%\gc4cyen4x2v
Сетевая активность
Подключается к
- 'hs###glish.pw':443
- 'pk#.goog':80
TCP
Запросы HTTP GET
- http://pk#.goog/gsr1/gsr1.crt
Другие
- 'hs###glish.pw':443
UDP
- DNS ASK hs###glish.pw
- DNS ASK pk#.goog
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\rundll32.exe' shell32.dll,ShellExec_RunDLL %LOCALAPPDATA%\Temp9uij23hnguiseghwfgj8932hgkhwgsdkljh824g.lnk' (со скрытым окном)
- '<SYSTEM32>\regsvr32.exe' /u /s "%ALLUSERSPROFILE%\.ssh\dddfhj349hjlf20ghjsajf32.dll"' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' "%TEMP%\\y2sidjnogkz284.dll",CreatePlatformInterfaceEx4' (со скрытым окном)
- '%WINDIR%\syswow64\regsvr32.exe' /u /s "%TEMP%\y2sidjnogkz284.dll"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /u /s "%ALLUSERSPROFILE%\.ssh\dddfhj349hjlf20ghjsajf32.dll"
- '%WINDIR%\syswow64\rundll32.exe' "%TEMP%\\y2sidjnogkz284.dll",CreatePlatformInterfaceEx4
- '%WINDIR%\syswow64\regsvr32.exe' /u /s "%TEMP%\y2sidjnogkz284.dll"
