Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\yota3d
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\yota3d\searchhost.exe
- %LOCALAPPDATA%\remotepanel\agent.log
Сетевая активность
Подключается к
- '19#.#04.58.27':8765
TCP
Запросы HTTP POST
- http://19#.##4.58.27:8765/api/register via 19#.#04.58.27
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\yota3d\searchhost.exe'
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Get-CimInstance Win32_Process | Where-Object { $_.Name -eq 'pythonw.exe' -and $_.CommandLine -like '*agent.pyw*' } | ForEach-Object { $_.ProcessId }"
- '<SYSTEM32>\schtasks.exe' /end /tn Yota3d
- '<SYSTEM32>\schtasks.exe' /query /tn Yota3d /xml
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "$a=New-ScheduledTaskAction -WorkingDirectory '%ALLUSERSPROFILE%\Yota3d' -Execute '%ALLUSERSPROFILE%\Yota3d\SearchHost.exe';$t=New-ScheduledTaskTrigger -AtLogOn -User $env:U...
- '%ALLUSERSPROFILE%\yota3d\searchhost.exe' (со скрытым окном)
