Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im wscript.exe
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\aspnet_compiler.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\windowspowershell\v1.0\powershell.exe
Изменения в файловой системе
Создает следующие файлы
- C:\temp\ps_lcn7ylzfyhte_1772407423567.ps1
Удаляет файлы, которые сам же создал
- C:\temp\ps_lcn7ylzfyhte_1772407423567.ps1
Сетевая активность
UDP
- DNS ASK fi#####.###tings.services.mozilla.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -File "C:\Temp\ps_lCn7YLZfYhtE_1772407423567.ps1"
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\aspnet_compiler.exe'
- '<SYSTEM32>\taskkill.exe' /f /im wscript.exe (со скрытым окном)
