Техническая информация
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\temp\cabffc1.tmp
- %WINDIR%\temp\tar85dd.tmp
- %WINDIR%\temp\cab85dc.tmp
- %WINDIR%\temp\tar6feb.tmp
- %WINDIR%\temp\cab6fea.tmp
- %WINDIR%\temp\tar6f5d.tmp
- %WINDIR%\temp\cab6f5c.tmp
- %WINDIR%\temp\tar59c8.tmp
- %WINDIR%\temp\cab59c7.tmp
- %WINDIR%\temp\tar5949.tmp
- %WINDIR%\temp\cab5948.tmp
- %WINDIR%\temp\tar4386.tmp
- %WINDIR%\temp\cab4385.tmp
- %WINDIR%\temp\tar4336.tmp
- %WINDIR%\temp\cab4335.tmp
- %WINDIR%\temp\tar2d73.tmp
- %WINDIR%\temp\cab2d72.tmp
- %WINDIR%\temp\tar2d32.tmp
- %WINDIR%\temp\cab2d31.tmp
- %WINDIR%\temp\tar2d02.tmp
- %WINDIR%\temp\cab2d01.tmp
- %WINDIR%\temp\tar2c92.tmp
- %WINDIR%\temp\cab2c91.tmp
- %WINDIR%\temp\tar171d.tmp
- %WINDIR%\temp\cab171c.tmp
- %WINDIR%\temp\tar169e.tmp
- %WINDIR%\temp\cab169d.tmp
- %WINDIR%\temp\tarffc2.tmp
- %WINDIR%\temp\cabc8e6.tmp
- %WINDIR%\temp\tarc916.tmp
Удаляет следующие файлы
- %WINDIR%\temp\cabffc1.tmp
- %WINDIR%\temp\tar85dd.tmp
- %WINDIR%\temp\cab85dc.tmp
- %WINDIR%\temp\tar6feb.tmp
- %WINDIR%\temp\cab6fea.tmp
- %WINDIR%\temp\tar6f5d.tmp
- %WINDIR%\temp\cab6f5c.tmp
- %WINDIR%\temp\tar59c8.tmp
- %WINDIR%\temp\cab59c7.tmp
- %WINDIR%\temp\tar5949.tmp
- %WINDIR%\temp\cab5948.tmp
- %WINDIR%\temp\tar4386.tmp
- %WINDIR%\temp\cab4385.tmp
- %WINDIR%\temp\tar4336.tmp
- %WINDIR%\temp\cab4335.tmp
- %WINDIR%\temp\tar2d73.tmp
- %WINDIR%\temp\cab2d72.tmp
- %WINDIR%\temp\tar2d32.tmp
- %WINDIR%\temp\cab2d31.tmp
- %WINDIR%\temp\tar2d02.tmp
- %WINDIR%\temp\cab2d01.tmp
- %WINDIR%\temp\tar2c92.tmp
- %WINDIR%\temp\cab2c91.tmp
- %WINDIR%\temp\tar171d.tmp
- %WINDIR%\temp\cab171c.tmp
- %WINDIR%\temp\tar169e.tmp
- %WINDIR%\temp\cab169d.tmp
- %WINDIR%\temp\tarffc2.tmp
- %WINDIR%\temp\cabc8e6.tmp
- %WINDIR%\temp\tarc916.tmp
Подменяет следующие исполняемые файлы
- <Полный путь к файлу>
Самоперемещается
- из <Полный путь к файлу> в <Текущая директория>h.exe
Сетевая активность
Подключается к
- 'localhost':49186
- 'localhost':49188
- 'ke##uth.win':443
- 'x1.#.lencr.org':80
- 'x2.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
- http://x2.#.lencr.org/
Другие
- 'localhost':49186
- 'localhost':49188
- 'localhost':49189
- 'ke##uth.win':443
UDP
- DNS ASK ke##uth.win
- DNS ASK x1.#.lencr.org
- DNS ASK x2.#.lencr.org
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c COLOR 70
- '<SYSTEM32>\cmd.exe' /c cls
- '<SYSTEM32>\cmd.exe' /c certutil -hashfile "<Полный путь к файлу>" MD5 | find /i /v "md5" | find /i /v "certutil"
- '<SYSTEM32>\certutil.exe' -hashfile "<Полный путь к файлу>" MD5
- '<SYSTEM32>\find.exe' /i /v "md5"
- '<SYSTEM32>\find.exe' /i /v "certutil"
- '<SYSTEM32>\cmd.exe' /c start cmd /C "color b && title Error && echo SSL connect error && timeout /t 5"
- '<SYSTEM32>\cmd.exe' /C "color b && title Error && echo SSL connect error && timeout /t 5"
- '<SYSTEM32>\timeout.exe' /t 5
