Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Startup key' = '%Rejig% -windowstyle minimized $decimerings=(Get-ItemProperty -Path 'HKCU:\Vicedirektrers\').Swounds;%Rejig% ($decimerings)...
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- wab.exe
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\tjurhane\fasciolidae\stinksvampen\filmrullerne\tendance\antenneforeningernes.sja
- %LOCALAPPDATA%\tjurhane\fasciolidae\stinksvampen\filmrullerne\tendance\unredacted.sai
- %LOCALAPPDATA%\tjurhane\fasciolidae\stinksvampen\filmrullerne\tendance\akkumulatorfabrikken.str
- %LOCALAPPDATA%\tjurhane\fasciolidae\stinksvampen\filmrullerne\tendance\lectured.txt
- %LOCALAPPDATA%\tjurhane\fasciolidae\stinksvampen\filmrullerne\tendance\<Имя файла>.exe
Сетевая активность
Подключается к
- 'ri###ltd.top':443
- 'x1.#.lencr.org':80
- 'x2.#.lencr.org':80
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/CABD2A79A1076A31F21D253635CB039D4329A5E8.crt?49##############
- http://x1.#.lencr.org/
- http://x2.#.lencr.org/
Другие
- 'ri###ltd.top':443
UDP
- DNS ASK ri###ltd.top
- DNS ASK x1.#.lencr.org
- DNS ASK x2.#.lencr.org
Другое
Ищет следующие окна
- ClassName: 'OleMainThreadWndClass' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD HKCU\Software\Microsoft\Windows\CurrentVersion\Run /f /v "Startup key" /t REG_EXPAND_SZ /d "%Rejig% -windowstyle minimized $decimerings=(Get-ItemProperty -Path 'HKCU:\Vicedirektrers\...' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -windowstyle hidden "$Ethyls=Get-Content '%LOCALAPPDATA%\tjurhane\fasciolidae\stinksvampen\Filmrullerne\Tendance\Unredacted.Sai';$Acronyctous5=$Ethyls.SubString(57591,3);.$Acronyctous5($Ethyls)...
- '%WINDIR%\syswow64\cmd.exe' "/c set /A 1^^0"
- '%ProgramFiles(x86)%\windows mail\wab.exe'
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD HKCU\Software\Microsoft\Windows\CurrentVersion\Run /f /v "Startup key" /t REG_EXPAND_SZ /d "%Rejig% -windowstyle minimized $decimerings=(Get-ItemProperty -Path 'HKCU:\Vicedirektrers\...
- '%WINDIR%\syswow64\reg.exe' ADD HKCU\Software\Microsoft\Windows\CurrentVersion\Run /f /v "Startup key" /t REG_EXPAND_SZ /d "%Rejig% -windowstyle minimized $decimerings=(Get-ItemProperty -Path 'HKCU:\Vicedirektrers\').Swou...
