Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\adobe acrobat player task
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '<SYSTEM32>\wscript.exe' //b /e:jscript %TEMP%\crashpad.ini
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c wscript.exe //b /e:jscript %TEMP%\crashpad.ini
- '%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 1440
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\crashpad.ini
- %TEMP%\qepbyb.txt
- %APPDATA%\microsoft\windows\{696a7b58-6b71-c8e6-c373-697c654e7f61}\crashpad.log
- %TEMP%\575940.cvr
Удаляет следующие файлы
- %TEMP%\crashpad.ini
Сетевая активность
Подключается к
- '95.##.45.128':443
UDP
- DNS ASK co##############e-chains.prod.autograph.services.mozaws.net
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' //b /e:jscript %APPDATA%\Microsoft\Windows\{696a7b58-6b71-c8e6-c373-697c654e7f61}\crashpad.log
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /Create /f /tn "Adobe Acrobat Player Task" /tr "wscript.exe //b /e:jscript %APPDATA%\Microsoft\Windows\{696a7b58-6b71-c8e6-c373-697c654e7f61}\crashpad.log" /sc minute /mo 2 (со скрытым окном)
- '<SYSTEM32>\taskeng.exe' {62F7B544-35F1-46AD-A78D-C72322B4FA58} S-1-5-21-3691498038-2086406363-2140527554-1000:bvfduruip\user:Interactive:[1]
- '<SYSTEM32>\cmd.exe' /c wscript.exe //b /e:jscript %TEMP%\crashpad.ini (со скрытым окном)
- '<SYSTEM32>\wscript.exe' //b /e:jscript %APPDATA%\Microsoft\Windows\{696a7b58-6b71-c8e6-c373-697c654e7f61}\crashpad.log (со скрытым окном)
