Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -EncodedCommand QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgACcAQwA6AFwAVQBzAGUAcgBzAFwAdQBzAGUAcgBcAEEAcABwAEQAYQB0AGEAXABMAG8AYwBhAGwAXABWAE...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -EncodedCommand QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUAByAG8AYwBlAHMAcwAgACgAJwBDADoAXABVAHMAZQByAHMAXAB1AHMAZQByAFwAQQBwAHAARABhAHQAYQBcAEwAbwBjAG...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -EncodedCommand QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUAByAG8AYwBlAHMAcwAgACcAQwA6AFwAdwBzAGoAagBmAFwAaAB4AGEAYQBlAGMAegAuAGUAeABlACcAIAAtAEUAcgByAG...
Изменения в файловой системе
Создает следующие файлы
- nul
- %LOCALAPPDATA%\vkijjmrnyk\ccusickvyh\uekku\pazyqniq\fgcps.exe
Удаляет файлы, которые сам же создал
- %LOCALAPPDATA%\vkijjmrnyk\ccusickvyh\uekku\pazyqniq\fgcps.exe
Сетевая активность
Подключается к
- 're######7.tech-point.xyz':443
- '19#.#32.214.172':80
- 'x1.#.lencr.org':80
- 'x2.#.lencr.org':80
- 'ye.#.lencr.org':80
- 'ye#.#.lencr.org':80
- 'ap#.#elegra.ph':443
- 'po#####.gateway.tenderly.co':443
- 'yr.#.lencr.org':80
- 'yr#.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x2.#.lencr.org/
- http://ye#.#.lencr.org/117.crl
- http://yr.#.lencr.org/
- http://yr#.#.lencr.org/20.crl
Другие
- 're######7.tech-point.xyz':443
- 'po#####.gateway.tenderly.co':443
UDP
- DNS ASK re######7.tech-point.xyz
- DNS ASK x1.#.lencr.org
- DNS ASK x2.#.lencr.org
- DNS ASK ye.#.lencr.org
- DNS ASK ye#.#.lencr.org
- DNS ASK ap#.#elegra.ph
- DNS ASK po#####.gateway.tenderly.co
- DNS ASK yr.#.lencr.org
- DNS ASK yr#.#.lencr.org
- DNS ASK mo#####.map.fastly.net
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\vkijjmrnyk\ccusickvyh\uekku\pazyqniq\fgcps.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c powershell.exe -NoProfile -EncodedCommand CgAgACAAIAAgAFsAQwBvAG4AcwBvAGwAZQBdADoAOgBPAHUAdABwAHUAdABFAG4AYwBvAGQAaQBuAGcAIAA9ACAAWwBTAHkAcwB0AGUAbQAuAFQAZQB4AHQALgBVAFQARgA4AEUAbgBjAG8AZABp... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -EncodedCommand CgAgACAAIAAgAFsAQwBvAG4AcwBvAGwAZQBdADoAOgBPAHUAdABwAHUAdABFAG4AYwBvAGQAaQBuAGcAIAA9ACAAWwBTAHkAcwB0AGUAbQAuAFQAZQB4AHQALgBVAFQARgA4AEUAbgBjAG8AZABpAG4AZwBdADoAOgBuAG...
- '<SYSTEM32>\cmd.exe' /c powershell.exe -NoProfile -EncodedCommand CgAgACAAIAAgACQAcAByAGkAbgBjAGkAcABhAGwAIAA9ACAAWwBTAGUAYwB1AHIAaQB0AHkALgBQAHIAaQBuAGMAaQBwAGEAbAAuAFcAaQBuAGQAbwB3AHMAUAByAGkAbgBjAGkAcABhAGwAXQBb... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -EncodedCommand CgAgACAAIAAgACQAcAByAGkAbgBjAGkAcABhAGwAIAA9ACAAWwBTAGUAYwB1AHIAaQB0AHkALgBQAHIAaQBuAGMAaQBwAGEAbAAuAFcAaQBuAGQAbwB3AHMAUAByAGkAbgBjAGkAcABhAGwAXQBbAFMAZQBjAHUAcgBpAH...
- '<SYSTEM32>\cmd.exe' /c powershell.exe -NoProfile -EncodedCommand QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgACcAQwA6AFwAVQBzAGUAcgBzAFwAdQBzAGUAcgBcAEEAcABwAEQAYQB0AGEAXABM... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powershell.exe -NoProfile -EncodedCommand QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUAByAG8AYwBlAHMAcwAgACgAJwBDADoAXABVAHMAZQByAHMAXAB1AHMAZQByAFwAQQBwAHAARABh... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powershell.exe -NoProfile -EncodedCommand QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUAByAG8AYwBlAHMAcwAgACcAQwA6AFwAdwBzAGoAagBmAFwAaAB4AGEAYQBlAGMAegAuAGUAeABl... (со скрытым окном)
- '%LOCALAPPDATA%\vkijjmrnyk\ccusickvyh\uekku\pazyqniq\fgcps.exe' (со скрытым окном)
