Техническая информация
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\getshell.exe
- C:\users\public\sysproxy.exe
- nul
- %TEMP%\content\412-1924-getshell.exe-20-21-58-155.dump
Самоперемещается
- из <Полный путь к файлу> в C:\users\public\asfqgqqvebggabvqegvaqg
Сетевая активность
Подключается к
- '10#.#86.255.114':8696
- 'te####c.lofter.com':80
TCP
Запросы HTTP GET
- http://te####c.lofter.com/post/1deb43d5_12b22be2f
Другие
- '15#.#01.65.91':443
UDP
- DNS ASK cl###.test404.com
- DNS ASK te####c.lofter.com
Другое
Создает и запускает на исполнение
- 'C:\users\public\sysproxy.exe'
- '<Текущая директория>\getshell.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' " /c " <Текущая директория>\GETshell.exe (со скрытым окном)
