Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Mason<Имя файла>' = '%APPDATA%\Mason<Имя файла>.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\mason<Имя файла>
Вредоносные функции
Загружает файлы и запускает на исполнение.
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\content\4132-3280-<Имя файла>.exe-14-42-18-203.dump
- %APPDATA%\89715
- %APPDATA%\mason<Имя файла>.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- %TEMP%\content\2040-1120-mason<Имя файла>.exe-14-42-30-388.dump
- %TEMP%\content\4412-3444-mason<Имя файла>.exe-14-43-06-717.dump
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\mason<Имя файла>.exe.log
Сетевая активность
Подключается к
- 'ra#.####ubusercontent.com':443
- 'x1.#.lencr.org':80
- 'fo########it21-55066.portmap.host':55066
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'ra#.####ubusercontent.com':443
UDP
- DNS ASK ra#.####ubusercontent.com
- DNS ASK x1.#.lencr.org
- DNS ASK fo########it21-55066.portmap.host
Другое
Создает и запускает на исполнение
- '%APPDATA%\mason<Имя файла>.exe'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /f /sc minute /mo 1 /tn "Mason<Имя файла>" /tr "%APPDATA%\Mason<Имя файла>.exe" (со скрытым окном)
- '%APPDATA%\mason<Имя файла>.exe' (со скрытым окном)
