Техническая информация
Вредоносные функции:
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра:
- [<HKLM>\SYSTEM\ControlSet001\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\UVhVXmJpX2Ax\rkcybere.exe' = '%APPDATA%\UVhVXmJpX2Ax\rkcyber...
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Создает и запускает на исполнение:
- '%APPDATA%\UVhVXmJpX2Ax\rkcybere.exe'
Запускает на исполнение:
- '%APPDATA%\UVhVXmJpX2Ax\rkcybere.exe'
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 3
- '<SYSTEM32>\netsh.exe' firewall add allowedprogram "%APPDATA%\UVhVXmJpX2Ax\rkcybere.exe" UVhVXmJpX2Ax ENABLE
- '<SYSTEM32>\cmd.exe'
- '<SYSTEM32>\cmd.exe' /c echo on error resume next:CreateObject("WScript.Shell").Run "<Полный путь к файлу>",1: >"%HOMEPATH%\Start Menu\Programs\Startup\x.vbs"
- '%ProgramFiles%\Internet Explorer\IEXPLORE.EXE'
- '<SYSTEM32>\cmd.exe' /c echo on error resume next:CreateObject("WScript.Shell").Run "%APPDATA%\UVhVXmJpX2Ax\rkcybere.exe",1: >"%HOMEPATH%\Start Menu\Programs\Startup\x.vbs"
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\UVhVXmJpX2Ax\rkcybere.exe
Самоудаляется.
Другое:
Ищет следующие окна:
- ClassName: 'Progman' WindowName: ''
