Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\find.exe' /pid=3156
- '<SYSTEM32>\find.exe' /pid=3252
- '<SYSTEM32>\find.exe' /pid=304
- '<SYSTEM32>\find.exe' /pid=2144
- '<SYSTEM32>\find.exe' /pid=2728
- '<SYSTEM32>\find.exe' /pid=2912
- '<SYSTEM32>\find.exe' /pid=3732
- '<SYSTEM32>\find.exe' /pid=3848
- '<SYSTEM32>\find.exe' /pid=3704
- '<SYSTEM32>\find.exe' /pid=3548
- '<SYSTEM32>\find.exe' /pid=3588
- '<SYSTEM32>\find.exe' /pid=3972
- '<SYSTEM32>\find.exe' devices
- '<SYSTEM32>\find.exe' /pid=3012
- '<SYSTEM32>\find.exe' /v "List"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\1.tmp\ROOT.bat""
- '<SYSTEM32>\find.exe' "device"
- '<SYSTEM32>\find.exe' /pid=3264
- '<SYSTEM32>\find.exe' /pid=3652
- '<SYSTEM32>\find.exe' /pid=3796
- '<SYSTEM32>\find.exe' /pid=3508
- '<SYSTEM32>\find.exe' /pid=3268
- '<SYSTEM32>\find.exe' /pid=3364
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\find.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\1.tmp\hwadb.exe
- %TEMP%\1.tmp\auto.vbs
- %TEMP%\1.tmp\mempodroid
- %TEMP%\adb.log
- %TEMP%\1.tmp\su
- %TEMP%\1.tmp\AdbWinUsbApi.dll
- %TEMP%\1.tmp\Superuser.apk
- %TEMP%\1.tmp\ROOT.bat
- %TEMP%\1.tmp\adb.exe
- %TEMP%\1.tmp\AdbWinApi_build.dll
- %TEMP%\1.tmp\AdbWinApi.dll
Сетевая активность:
Подключается к:
- 'localhost':5575
- 'localhost':5577
- 'localhost':5571
- 'localhost':5573
- 'localhost':5583
- 'localhost':5585
- 'localhost':5579
- 'localhost':5581
- 'localhost':5569
- 'localhost':5557
- 'localhost':5559
- 'localhost':5037
- 'localhost':5555
- 'localhost':5565
- 'localhost':5567
- 'localhost':5561
- 'localhost':5563
