Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\ztmp\tmp5901.exe' Yz29koFyRv 2000
- '%TEMP%\ztmp\tmp5901.exe' Yz29koFyRv 1000
- '%TEMP%\ztmp\tmp5901.exe' f3GcN7SrE4 12 0
- '%TEMP%\ztmp\tmp5901.exe' f3GcN7SrE4 8 0
- '%TEMP%\afolder\Shortcut.exe' /f:"C:\Users\Public\Desktop\Audiophile Optimizer.lnk" /A:C /T:C:\AO\audiophile_core.exe
- '%TEMP%\afolder\Shortcut.exe' /f:"C:\Users\Public\Desktop\ServiceTool.lnk" /A:C /T:C:\AO\service_tool.exe
- '%TEMP%\afolder\Shortcut.exe' /f:"C:\Users\All Users\Microsoft\Windows\Start Menu\Programs\AudiophileOptimizer\AudiophileOptimizer.lnk" /A:C /T:C:\AO\audiophile_core.exe
- '%TEMP%\afolder\Shortcut.exe' /f:"C:\Users\All Users\Microsoft\Windows\Start Menu\Programs\AudiophileOptimizer\ServiceTool.lnk" /A:C /T:C:\AO\service_tool.exe
- '%TEMP%\ztmp\tmp5901.exe' f3GcN7SrE4 9 0
- '%TEMP%\ztmp\tmp5901.exe' h5CoUrw9k1 6 10
- '%TEMP%\ztmp\tmp5901.exe' kF5nJ4D92hfOpc8
- '%TEMP%\ztmp\tmp5901.exe' j6NM4Cxfv3
- '%TEMP%\ztmp\tmp5901.exe' qKv4mr87kd AudiophileOptimizer Setup 1.25 8 0
- '%TEMP%\ztmp\tmp5901.exe' h5CoUrw9k1 7 3
- '%TEMP%\ztmp\tmp5901.exe' qKv4mr87kd |___/' 9 0
- '%TEMP%\ztmp\tmp5901.exe' h5CoUrw9k1 6 37
Запускает на исполнение:
- '<SYSTEM32>\xcopy.exe' %TEMP%\afolder\map_drive.cmd C:\AO\Tools /S /E /Y /Q
- '<SYSTEM32>\xcopy.exe' %TEMP%\afolder\install.cmd C:\AO\Tools /S /E /Y /Q
- '<SYSTEM32>\xcopy.exe' %TEMP%\afolder\set_ip.cmd C:\AO\Tools /S /E /Y /Q
- '<SYSTEM32>\xcopy.exe' %TEMP%\afolder\JPLAY-DualPC-example_config.reg C:\AO\Tools /S /E /Y /Q
- '<SYSTEM32>\xcopy.exe' %TEMP%\afolder\show_adapters.cmd C:\AO\Tools /S /E /Y /Q
- '<SYSTEM32>\xcopy.exe' %TEMP%\afolder\finish.cmd C:\AO\Tools /S /E /Y /Q
- '<SYSTEM32>\xcopy.exe' %TEMP%\afolder\audiophile_core.exe C:\AO /S /E /Y /Q
- '<SYSTEM32>\attrib.exe' +h %TEMP%\ztmp
- '<SYSTEM32>\xcopy.exe' %TEMP%\afolder\service_tool.exe C:\AO /S /E /Y /Q
- '<SYSTEM32>\xcopy.exe' %TEMP%\afolder\changelog.txt C:\AO /S /E /Y /Q
- '<SYSTEM32>\xcopy.exe' %TEMP%\afolder\setup*1.25.pdf C:\AO /S /E /Y /Q
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе:
Создает следующие файлы:
- C:\AO\Tools\finish.cmd
- C:\AO\Tools\install.cmd
- C:\AO\Tools\map_drive.cmd
- C:\AO\service_tool.exe
- C:\AO\Setup Guide 1.25.pdf
- C:\AO\changelog.txt
- C:\AO\Tools\set_ip.cmd
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\_filelst.cfg
- C:\Users\All Users\Microsoft\Windows\Start Menu\Programs\AudiophileOptimizer\AudiophileOptimizer.lnk
- C:\Users\All Users\Microsoft\Windows\Start Menu\Programs\AudiophileOptimizer\ServiceTool.lnk
- C:\AO\Tools\show_adapters.cmd
- C:\AO\Tools\JPLAY-DualPC-example_config.reg
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\drivetable.txt
- C:\AO\audiophile_core.exe
- %TEMP%\afolder\JPLAY-DualPC-example_config.reg
- %TEMP%\afolder\finish.cmd
- %TEMP%\afolder\install.cmd
- %TEMP%\afolder\audiophile_core.exe
- %TEMP%\afolder\service_tool.exe
- %TEMP%\afolder\changelog.txt
- %TEMP%\afolder\map_drive.cmd
- %TEMP%\afolder\Setup Guide 1.25.pdf
- %TEMP%\ztmp\tmp83.bat
- %TEMP%\ztmp\tmp5901.exe
- %TEMP%\afolder\set_ip.cmd
- %TEMP%\afolder\show_adapters.cmd
- %TEMP%\afolder\Shortcut.exe
Удаляет следующие файлы:
- <SYSTEM32>\Restore\MachineGuid.txt
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '(null)' WindowName: '218500/3280'
