Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -EncodedCommand QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgACcAQwA6AFwAVQBzAGUAcgBzAFwAdQBzAGUAcgBcAEEAcABwAEQAYQB0AGEAXABMAG8AYwBhAGwAXABsAF...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -EncodedCommand QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUAByAG8AYwBlAHMAcwAgACgAJwBDADoAXABVAHMAZQByAHMAXAB1AHMAZQByAFwAQQBwAHAARABhAHQAYQBcAEwAbwBjAG...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -EncodedCommand QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUAByAG8AYwBlAHMAcwAgACcAQwA6AFwAdgBkAGIAawBwAGcAdABoAFwAeABwAHoAYwBrAC4AZQB4AGUAJwAgAC0ARQByAH...
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- nul
- %LOCALAPPDATA%\ltsdmlica\evaph\akyfdhswbo\yjvoyphnorj\ukpfkr\efqqrdzjiqs\clqjmqcnhr\lmuvjtanfck.exe
Удаляет файлы, которые сам же создал
- %LOCALAPPDATA%\ltsdmlica\evaph\akyfdhswbo\yjvoyphnorj\ukpfkr\efqqrdzjiqs\clqjmqcnhr\lmuvjtanfck.exe
Сетевая активность
Подключается к
- 'ap#.#elegra.ph':443
- 'po####n.drpc.org':443
- 'qu###.##ooutlet58.website':443
- 'x1.#.lencr.org':80
- 'x2.#.lencr.org':80
- 'ye.#.lencr.org':80
- 'ye#.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x2.#.lencr.org/
- http://ye.#.lencr.org/
- http://ye#.#.lencr.org/56.crl
Другие
- 'po####n.drpc.org':443
- 'qu###.##ooutlet58.website':443
UDP
- DNS ASK po####.countypress9.lol
- DNS ASK ap#.#elegra.ph
- DNS ASK po####n.drpc.org
- DNS ASK qu###.##ooutlet58.website
- DNS ASK x1.#.lencr.org
- DNS ASK x2.#.lencr.org
- DNS ASK ye.#.lencr.org
- DNS ASK ye#.#.lencr.org
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\ltsdmlica\evaph\akyfdhswbo\yjvoyphnorj\ukpfkr\efqqrdzjiqs\clqjmqcnhr\lmuvjtanfck.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c powershell.exe -NoProfile -EncodedCommand CgAgACAAIAAgAFsAQwBvAG4AcwBvAGwAZQBdADoAOgBPAHUAdABwAHUAdABFAG4AYwBvAGQAaQBuAGcAIAA9ACAAWwBTAHkAcwB0AGUAbQAuAFQAZQB4AHQALgBVAFQARgA4AEUAbgBjAG8AZABp... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -EncodedCommand CgAgACAAIAAgAFsAQwBvAG4AcwBvAGwAZQBdADoAOgBPAHUAdABwAHUAdABFAG4AYwBvAGQAaQBuAGcAIAA9ACAAWwBTAHkAcwB0AGUAbQAuAFQAZQB4AHQALgBVAFQARgA4AEUAbgBjAG8AZABpAG4AZwBdADoAOgBuAG...
- '<SYSTEM32>\cmd.exe' /c powershell.exe -NoProfile -EncodedCommand CgAgACAAIAAgACQAcAByAGkAbgBjAGkAcABhAGwAIAA9ACAAWwBTAGUAYwB1AHIAaQB0AHkALgBQAHIAaQBuAGMAaQBwAGEAbAAuAFcAaQBuAGQAbwB3AHMAUAByAGkAbgBjAGkAcABhAGwAXQBb... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -EncodedCommand CgAgACAAIAAgACQAcAByAGkAbgBjAGkAcABhAGwAIAA9ACAAWwBTAGUAYwB1AHIAaQB0AHkALgBQAHIAaQBuAGMAaQBwAGEAbAAuAFcAaQBuAGQAbwB3AHMAUAByAGkAbgBjAGkAcABhAGwAXQBbAFMAZQBjAHUAcgBpAH...
- '<SYSTEM32>\cmd.exe' /c powershell.exe -NoProfile -EncodedCommand QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgACcAQwA6AFwAVQBzAGUAcgBzAFwAdQBzAGUAcgBcAEEAcABwAEQAYQB0AGEAXABM... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powershell.exe -NoProfile -EncodedCommand QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUAByAG8AYwBlAHMAcwAgACgAJwBDADoAXABVAHMAZQByAHMAXAB1AHMAZQByAFwAQQBwAHAARABh... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powershell.exe -NoProfile -EncodedCommand QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUAByAG8AYwBlAHMAcwAgACcAQwA6AFwAdgBkAGIAawBwAGcAdABoAFwAeABwAHoAYwBrAC4AZQB4... (со скрытым окном)
- '%LOCALAPPDATA%\ltsdmlica\evaph\akyfdhswbo\yjvoyphnorj\ukpfkr\efqqrdzjiqs\clqjmqcnhr\lmuvjtanfck.exe' (со скрытым окном)
