Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\astromesh.url
- <SYSTEM32>\tasks\warranties
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\boulevard.htm
- %TEMP%\focal.htm
- %TEMP%\counted.htm
- %TEMP%\sue.htm
- %TEMP%\begun.htm
- %TEMP%\functions.htm
- %TEMP%\docs.htm
- %TEMP%\motherboard.htm
- %TEMP%\trust.htm
- %TEMP%\mumbai.htm
- %TEMP%\sharon.htm
- %TEMP%\pitch.htm
- %TEMP%\fare.htm
- %TEMP%\removed.htm
- %TEMP%\nature.htm
- %TEMP%\booth.htm
- %TEMP%\oven.htm
- %TEMP%\keywords.htm
- %TEMP%\ideal.htm
- %TEMP%\influences.htm
- %TEMP%\treasurer.htm
- %TEMP%\score.htm
- %TEMP%\community.htm
- %TEMP%\saddam.htm
- %TEMP%\linux.htm
- %TEMP%\decline.htm
- %TEMP%\attack.htm
- %TEMP%\dis.htm
- %TEMP%\colleagues.htm
- %TEMP%\trails.htm
- %TEMP%\yoga.htm
- %TEMP%\impression.htm
- %TEMP%\construction.htm
- %TEMP%\ralph.htm
- %TEMP%\thin.htm
- %TEMP%\livecam.htm
- %TEMP%\boats.htm
- %TEMP%\extended.htm
- %TEMP%\slovak.htm
- %TEMP%\bless.htm
- %TEMP%\gay.htm
- %TEMP%\moscow.htm
- %TEMP%\corporate.htm
- %TEMP%\solid.htm
- %TEMP%\jacket.htm
- %TEMP%\hours.htm
- %TEMP%\knew.htm
- %TEMP%\blog.htm
- %TEMP%\surf.htm
- %TEMP%\mumbai.htm.bat
- %TEMP%\ranks
- %TEMP%\business
- %TEMP%\ja
- %TEMP%\anxiety
- %TEMP%\finals
- %TEMP%\fatty
- %TEMP%\instructions
- %TEMP%\away
- %TEMP%\accepting
- %TEMP%\collector
- %TEMP%\gap
- %TEMP%\207742\turkish.com
- %TEMP%\207742\d
- %LOCALAPPDATA%\astronet dynamics\e
- %LOCALAPPDATA%\astronet dynamics\astromesh.com
- %LOCALAPPDATA%\astronet dynamics\astromesh.js
Удаляет следующие файлы
- %TEMP%\207742\d
Сетевая активность
UDP
- DNS ASK VM############pQUoePacnYm.VMtKogCZXRxMJQpQUoePacnYm
Другое
Создает и запускает на исполнение
- '%TEMP%\207742\turkish.com' d
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c copy Mumbai.htm Mumbai.htm.bat & Mumbai.htm.bat (со скрытым окном)
- '%WINDIR%\syswow64\tasklist.exe'
- '%WINDIR%\syswow64\findstr.exe' /I "opssvc wrsa"
- '%WINDIR%\syswow64\findstr.exe' "bdservicehost SophosHealth AvastUI AVGUI nsWscSvc ekrn"
- '%WINDIR%\syswow64\extrac32.exe' /Y Decline.htm *.*
- '%WINDIR%\syswow64\findstr.exe' /V "GUESS" Instructions
- '%WINDIR%\syswow64\choice.exe' /d n /t 5
- '%WINDIR%\syswow64\cmd.exe' /c schtasks.exe /create /tn "Warranties" /tr "wscript //B '%LOCALAPPDATA%\AstroNet Dynamics\AstroMesh.js'" /sc minute /mo 5 /F
- '%WINDIR%\syswow64\cmd.exe' /k echo [InternetShortcut] > "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\AstroMesh.url" & echo URL="%LOCALAPPDATA%\AstroNet Dynamics\AstroMesh.js" >> "%APPDATA%\Microsoft\Windows\S...
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "Warranties" /tr "wscript //B '%LOCALAPPDATA%\AstroNet Dynamics\AstroMesh.js'" /sc minute /mo 5 /F
