Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /PID "2584"
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\empyreumas.txt
- %TEMP%\hqk505en.0.cs
- %TEMP%\hqk505en.cmdline
- %TEMP%\hqk505en.out
- %TEMP%\csc905.tmp
- %TEMP%\res915.tmp
- %TEMP%\hqk505en.dll
- %TEMP%\remove.bat
Удаляет следующие файлы
- <Текущая директория>\empyreumas.txt
- %TEMP%\res915.tmp
- %TEMP%\csc905.tmp
- %TEMP%\hqk505en.dll
- %TEMP%\hqk505en.cmdline
- %TEMP%\hqk505en.out
- %TEMP%\hqk505en.0.cs
Самоудаляется.
Сетевая активность
Подключается к
- 'ch####p.dyndns.org':80
- 'google.com':443
- '7z##.mobi':80
TCP
Запросы HTTP GET
- http://ch####p.dyndns.org/
- http://7z##.mobi/7zip.exe
- http://www.7z##.mobi/7zip.exe
Другие
- 'google.com':443
UDP
- DNS ASK ch####p.dyndns.org
- DNS ASK google.com
- DNS ASK 7z##.mobi
- DNS ASK 7z##d.com
- DNS ASK ku##usi.org
- DNS ASK we####rwindows.pk
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Перезапускает анализируемый образец
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\hqk505en.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES915.tmp" "%TEMP%\CSC905.tmp" (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Remove.bat" "2584" "<Полный путь к файлу>"" (со скрытым окном)
- '%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 3
