Техническая информация
Изменения в файловой системе
Создает следующие файлы
- C:\webfontmonitorsvc\saveshostperfdhcp.exe
- C:\webfontmonitorsvc\mkwfppk9rub4lrtrnwan42dryum0cgdfxqnsmgnkhiled.vbe
- C:\webfontmonitorsvc\qcyglnlzubtio9o7gzylvnfsl.bat
- %ProgramFiles%\winrar\spoolsv.exe
- %ProgramFiles%\winrar\f3b6ecef712a24
- <Текущая директория>\wudfhost.exe
- <Текущая директория>\480b7989c529f6
- %ProgramFiles%\windowspowershell\configuration\dwm.exe
- %ProgramFiles%\windowspowershell\configuration\6cb0b6c459d5d3
- %ProgramFiles%\windows sidebar\shared gadgets\runtimebroker.exe
- %ProgramFiles%\windows sidebar\shared gadgets\9e8d7a4ca61bd9
- %ProgramFiles(x86)%\windows nt\tabletextservice\en-us\wininit.exe
- %ProgramFiles(x86)%\windows nt\tabletextservice\en-us\56085415360792
- %TEMP%\xrqwh19qbz
- %TEMP%\yxgrdzhr3q.bat
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\saveshostperfdhcp.exe.log
- nul
- %TEMP%\k0wihwgt8t
- %TEMP%\g3j0tdp0ue.bat
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\wudfhost.exe.log
- %TEMP%\p11ept5riu
- %TEMP%\2ucugghgnf.bat
- %TEMP%\drxrswbblo
- %TEMP%\uhjf8j8k7u.bat
- %TEMP%\8rwdy21ook
- %TEMP%\rnhqwn31dw.bat
- %TEMP%\ax9b6fdfdu
- %TEMP%\7altozfoms.bat
- %TEMP%\7uuo3ubbky
- %TEMP%\ub5po60uuj.bat
- %TEMP%\8lvuy6v6tc
- %TEMP%\6l2ysswq0j.bat
Удаляет файлы, которые сам же создал
- %TEMP%\xrqwh19qbz
- %TEMP%\k0wihwgt8t
- %TEMP%\p11ept5riu
- %TEMP%\drxrswbblo
- %TEMP%\8rwdy21ook
- %TEMP%\ax9b6fdfdu
- %TEMP%\7uuo3ubbky
- %TEMP%\8lvuy6v6tc
Сетевая активность
Подключается к
- '18#.#20.235.51':80
- '18#.#20.235.51':443
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Запросы HTTP POST
Другие
- '18#.#20.235.51':443
UDP
- DNS ASK x1.#.lencr.org
- 'localhost':123
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "C:\WebFontmonitorsvc\MkWFPpk9rUB4LrtRNwAN42dRyum0cGdFxqnSmgNkHiLED.vbe"
- 'C:\webfontmonitorsvc\saveshostperfdhcp.exe'
- '<Текущая директория>\wudfhost.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\WebFontmonitorsvc\QcyGlnLZuBTiO9o7gzyLVnfSL.bat" " (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\yXgRdZhr3Q.bat" (со скрытым окном)
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\g3J0tdP0ue.bat" (со скрытым окном)
- '<SYSTEM32>\ping.exe' -n 10 localhost
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\2ucUGghGnf.bat" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\uhjF8j8k7U.bat" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\RNhQwN31dW.bat" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\7AlTOZFOMS.bat" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\Ub5pO60uUj.bat" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\6L2ySswQ0j.bat" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\ogJsYefPP1.bat" (со скрытым окном)
