Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %WINDIR%\tasks\suker.job
- <SYSTEM32>\tasks\e5ugyal8w
Изменения в файловой системе
Создает следующие файлы
- C:\3ptonbm\ttmwbctl.exe
- C:\3ptonbm\5rkp0ppd.exe
- C:\3ptonbm\urmtumv1.zip
- C:\3ptonbm\qpxz7zux.exe
- C:\3ptonbm\rmanr60t.exe
- %TEMP%\g6he5sb.bat
- %TEMP%\work\7z.exe
- %TEMP%\work\cecho.exe
- %TEMP%\work\dkt.zip
- %TEMP%\work\nircmd.exe
- %TEMP%\work\nsudolg.exe
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\s-1-5-18\d42cc0c3858a58db2db37658219e6400_d99ef00b-ccd3-4f1d-9980-90ac453b0b47
- %TEMP%\bd4cae89c3\suker.exe
- nul
Сетевая активность
Подключается к
- '17#.#6.157.50':80
TCP
Запросы HTTP POST
- http://17#.#6.157.50/tu3d2rom/index.php
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- 'C:\3ptonbm\ttmwbctl.exe'
- 'C:\3ptonbm\5rkp0ppd.exe' x -aoa -bso0 -bsp1 "C:\3PtONbM\Urmtumv1.zip" -pMy4O1amj -o"C:\3PtONbM"
- 'C:\3ptonbm\rmanr60t.exe'
- 'C:\3ptonbm\qpxz7zux.exe'
- '%TEMP%\work\nircmd.exe' win min process "cmd.exe"
- '%TEMP%\bd4cae89c3\suker.exe'
- '%TEMP%\work\nsudolg.exe' -U:T -P:E -UseCurrentConsole "%TEMP%\G6HE5SB.bat" any_word
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\3PtONbM\5RKP0PpD.exe" x -aoa -bso0 -bsp1 "C:\3PtONbM\Urmtumv1.zip" -pMy4O1amj -o"C:\3PtONbM""
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /tn "e5ugyaL8w" /tr "C:\3PtONbM\TTMwbcTl.exe" /sc minute /mo 10 /f (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "e5ugyaL8w" /tr "C:\3PtONbM\TTMwbcTl.exe" /sc minute /mo 10 /f
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\G6HE5SB.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c powershell -NoProfile -ExecutionPolicy Bypass -Command "$task = Get-ScheduledTask -TaskName 'e5ugyaL8w';$task.Settings.DisallowStartIfOnBatteries = $false;$task.Settings.StopIfGoingOnBatteri... (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "$task = Get-ScheduledTask -TaskName 'e5ugyaL8w';$task.Settings.DisallowStartIfOnBatteries = $false;$task.Settings.StopIfGoingOnBatteries = $false;$t...
- '%WINDIR%\syswow64\chcp.com' 65001
- '%WINDIR%\syswow64\reg.exe' query "HKU\S-1-5-19"
- '%WINDIR%\syswow64\reg.exe' add "HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Themes\Personalize" /v "AppsUseLightTheme" /t reg_dword /d 0 /f
- 'C:\3ptonbm\rmanr60t.exe' (со скрытым окном)
- 'C:\3ptonbm\qpxz7zux.exe' (со скрытым окном)
- '%TEMP%\bd4cae89c3\suker.exe' (со скрытым окном)
