Техническая информация
Вредоносные функции
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -executionpolicy bypass -file %LOCALAPPDATA%\Temp/\PLuJODixak.ps1
Сетевая активность
Подключается к
- 'dn##tik.com':80
- 'dn##tik.com':443
- 'x1.#.lencr.org':80
- '14#.#5.118.172':80
- 'bu#####ironworksllc.com':443
- 'st####.parastorage.com':443
- 'yr.#.lencr.org':80
- 'my######reen.mightcode.com':80
- 'yr#.#.lencr.org':80
- '18#.#66.245.112':80
- '47.##4.189.73':80
TCP
Запросы HTTP GET
- http://www.dn##tik.com/wp-includes/vTARHRKHjRqkGKU/
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?03##############
- http://yr.#.lencr.org/
- http://yr#.#.lencr.org/12.crl
- http://my######reen.mightcode.com/Fox-C/hlHV/
Другие
- 'dn##tik.com':443
- 'bu#####ironworksllc.com':443
- 'st####.parastorage.com':443
UDP
- DNS ASK dn##tik.com
- DNS ASK x1.#.lencr.org
- DNS ASK al##rik.com
- DNS ASK bu#####ironworksllc.com
- DNS ASK st####.parastorage.com
- DNS ASK my######reen.mightcode.com
- DNS ASK yr.#.lencr.org
- DNS ASK yr#.#.lencr.org
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
