Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /im "<Имя файла>.exe" /f
Изменения в файловой системе
Самоудаляется.
Сетевая активность
Подключается к
- '5.##.64.2':80
- 'script.google.com':80
- 'script.google.com':443
- 'pk#.goog':80
- 'sc####.##ogleusercontent.com':443
- 'tr#.#rcstat.com':80
TCP
Запросы HTTP GET
- http://5.##.64.2/ip.php
- http://5.##.64.2/api/files/client/s51
- http://5.##.64.2/api/files/client/s52
- http://5.##.64.2/api/files/client/s53
- http://5.##.64.2/api/files/client/s54
- http://script.google.com/macros/s/AKfycbxu6XZln0F2VKs8FMpn924RlKozFV5XZApwvto57voh-zMdTnkCnYo38kxDLRAyW0hb/exec?xf#########################################################
- http://pk#.goog/gsr1/gsr1.crt
- http://tr#.#rcstat.com/postback?ci#######################################
Другие
- 'script.google.com':443
- 'sc####.##ogleusercontent.com':443
UDP
- DNS ASK script.google.com
- DNS ASK pk#.goog
- DNS ASK sc####.##ogleusercontent.com
- DNS ASK tr#.#rcstat.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im "<Имя файла>.exe" /f & erase "<Полный путь к файлу>" & exit' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im "<Имя файла>.exe" /f & erase "<Полный путь к файлу>" & exit
