Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\nsr2.tmp\ns4.tmp' powershell.exe -inputformat none -NoProfile -NoLogo -Command "Write-Host ($PSVersionTable.psversion)"
- '%TEMP%\nsr2.tmp\ns3.tmp' powershell.exe -InputFormat None -NoProfile -NoLogo -Command "& {$vpns = @('ok^'); Get-WmiObject Win32_SystemDriver -Filter \"DisplayName like 'TAP-Win%'\" | ForEach-Object {$vpns += 'OpenVPN'}; if (@([System.Net.NetworkInformation.IPGlobalProperties]::GetIPGlobalProperties().GetActiveTcpConnections() | Where-Object {$_.RemoteEndPoint.Port -eq 1723}).Count) {$vpns += 'PPTP'} if (@([System.Net.NetworkInformation.IPGlobalProperties]::GetIPGlobalProperties().GetActiveUDPListeners() | Where-Object {$_.Port -eq 1701}).Count) {$vpns += 'L2TP'}; $vpns -join '|';} "
- '%TEMP%\Adanak\Adanak.mg.exe' -session 5023FF8A-4685-409E-A62E-F5C4222FFA98 -ma 00:00:00:00:00:01 -s ef -cid
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmiadap.exe' /R /T
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\nsr2.tmp\nsJSON.dll
- %TEMP%\nsr2.tmp\inetc.dll
- %TEMP%\nsr2.tmp\WmiInspector.dll
- %TEMP%\nsr2.tmp\nsExec.dll
- %TEMP%\nsr2.tmp\ns4.tmp
- %TEMP%\nsr2.tmp\ns3.tmp
- %TEMP%\nsr2.tmp\NSISEncrypt.dll
- %TEMP%\ilg
- %TEMP%\nsr2.tmp\UserInfo.dll
- %TEMP%\nsr2.tmp\System.dll
- %TEMP%\nsr2.tmp\ExecDos.dll
- %TEMP%\Adanak\Adanak.mg.exe
- %TEMP%\nsr2.tmp\IpConfig.dll
Удаляет следующие файлы:
- %TEMP%\nsr2.tmp\NSISEncrypt.dll
- %TEMP%\nsr2.tmp\nsExec.dll
- %TEMP%\nsr2.tmp\IpConfig.dll
- %TEMP%\nsr2.tmp\nsJSON.dll
- %TEMP%\nsr2.tmp\WmiInspector.dll
- %TEMP%\nsr2.tmp\UserInfo.dll
- %TEMP%\nsr2.tmp\System.dll
- %TEMP%\nsr2.tmp\inetc.dll
- <SYSTEM32>\wbem\Performance\WmiApRpl.ini
- %TEMP%\nsr2.tmp\ns4.tmp
- %TEMP%\nsr2.tmp\ns3.tmp
- <SYSTEM32>\PerfStringBackup.TMP
- %TEMP%\nsr2.tmp\ExecDos.dll
- %TEMP%\ilg
- %TEMP%\Adanak\Adanak.mg.exe
Сетевая активность:
Подключается к:
- 'in####l.adanak.net':80
TCP:
Запросы HTTP GET:
- in####l.adanak.net/fp?al##############################################################################################################################################################################################################################################################################################################################
- in####l.adanak.net/ii?al##############################################################################################################################################################################################################################################################################################################################################################################################################################################################################################################
- in####l.adanak.net/mg?al########################################################################################################################################################################################################################
- in####l.adanak.net/mg?al################################################################################################################
UDP:
- DNS ASK in####l.adanak.net
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
