Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\systemmonitor
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\temp\sysmon.log
- %TEMP%\guid.txt
- %WINDIR%\systemmonitor.exe
- %WINDIR%\temp\sysmon.installed
Удаляет файлы, которые сам же создал
- %TEMP%\guid.txt
Сетевая активность
Подключается к
- 'vl##.cn.com':8080
TCP
Запросы HTTP GET
- http://vl##.#n.com:8080/ via vl##.cn.com
UDP
- DNS ASK vl##.cn.com
- DNS ASK x.###x.cn.com
- DNS ASK xx.##xx.cn.com
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c powershell -c "Get-WmiObject -Class Win32_ComputerSystemProduct | Select-Object -ExpandProperty UUID" > "%TEMP%\guid.txt" 2>nul (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -c "Get-WmiObject -Class Win32_ComputerSystemProduct | Select-Object -ExpandProperty UUID"
- '%WINDIR%\syswow64\schtasks.exe' /delete /tn "SystemMonitor" /f (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /tn "SystemMonitor" /tr "%WINDIR%\systemmonitor.exe" /sc hourly /ru SYSTEM /f /rl HIGHEST (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "SystemMonitor" /tr "%WINDIR%\systemmonitor.exe" /sc hourly /ru SYSTEM /f /rl HIGHEST
- '%WINDIR%\syswow64\schtasks.exe' /query /tn "SystemMonitor" (со скрытым окном)
