Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -Command "IEX $env:INTERNAL_DB_CACHE;[Environment]::SetEnvironmentVariable('INTERNAL_DB_CACHE',$null,'User')"
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\caspol.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\caspol.exe
Сетевая активность
Подключается к
- '21#.#32.103.22':80
- 'cu#.onl':443
- '23.##5.2.144':80
- 'x1.#.lencr.org':80
- 'r1#.#.lencr.org':80
- '10#.#68.5.54':80
- '10#.#75.148.102':28080
TCP
Запросы HTTP GET
- http://r1#.#.lencr.org/94.crl
- http://21#.#32.103.22/69/bestgatewithbetterfutureforutoo.hta?&%##################################################################################################################################...
- http://10#.#68.5.54/img/optimized_MSI.png
- http://21#.#32.103.22/img/hccl/img_034037.png
Другие
- 'cu#.onl':443
- '10#.#75.148.102':28080
UDP
- DNS ASK cu#.onl
- DNS ASK x1.#.lencr.org
- DNS ASK r1#.#.lencr.org
Другое
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\caspol.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -Command "IEX $env:INTERNAL_DB_CACHE;[Environment]::SetEnvironmentVariable('INTERNAL_DB_CACHE',$null,'User')" (со скрытым окном)
