Техническая информация
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\postcards.pot
- %TEMP%\freeware.pot
- %TEMP%\solely.pot
- %TEMP%\demographic.pot
- %TEMP%\towers.pot
- %TEMP%\bc.pot
- %TEMP%\minerals.pot
- %TEMP%\tender.pot
- %TEMP%\is.pot
- %TEMP%\towers.pot.bat
- %TEMP%\newsletters
- %TEMP%\inspired
- %TEMP%\securely
- %TEMP%\spouse
- %TEMP%\framing
- %TEMP%\giving
- %TEMP%\therapist
- %TEMP%\worst
- %TEMP%\miss
- %TEMP%\treasurer
- %TEMP%\merchandise
- %TEMP%\strengthening
- %TEMP%\533721\acids.com
- %TEMP%\533721\n
Удаляет следующие файлы
- %TEMP%\533721\n
Самоудаляется.
Сетевая активность
UDP
- DNS ASK OB######DUcxn.OBwrDMNCDUcxn
Другое
Создает и запускает на исполнение
- '%TEMP%\533721\acids.com' N
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c copy Towers.pot Towers.pot.bat & Towers.pot.bat (со скрытым окном)
- '%WINDIR%\syswow64\tasklist.exe'
- '%WINDIR%\syswow64\findstr.exe' /I "opssvc wrsa"
- '%WINDIR%\syswow64\findstr.exe' "nsWscSvc ekrn bdservicehost SophosHealth AvastUI AVGUI & if not errorlevel 1 Set uTOHgnFzBAuRLpFFobqfs=AutoIt3.exe & Set qoUmotHoqpdUf=.a3x & Set fxJiieoNtMoiICFywcsGiWMrgevFBksm=300
- '%WINDIR%\syswow64\extrac32.exe' /Y Bc.pot *.*
- '%WINDIR%\syswow64\findstr.exe' /V "RESOLVED" Spouse
- '%WINDIR%\syswow64\choice.exe' /d n /t 5
