Техническая информация
- Процесс xlmmkod.exe, модуль ntdll.dll
- из <Полный путь к файлу> в %TEMP%\runtime broker.exe
- '31.##.244.41':32456
- '31.##.245.146':36461
- http://31.##.244.41:32456/ via 31.##.244.41
- http://31.##.245.146:36461/ via 31.##.245.146
- '<SYSTEM32>\cmd.exe' /c timeout /nobreak /t 3 & fsutil file setZeroData offset=0 length=6163384 "%TEMP%\Runtime Broker.exe" & erase "%TEMP%\Runtime Broker.exe" & exit (со скрытым окном)
- '<SYSTEM32>\timeout.exe' /nobreak /t 3
- '<SYSTEM32>\fsutil.exe' file setZeroData offset=0 length=6163384 "%TEMP%\Runtime Broker.exe"