Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\$mxw.tmp\acstp.exe' /S
- '%TEMP%\$mxw.tmp\rplc.exe'
- '%TEMP%\$mxw.tmp\Action Crack Installer.exe'
Запускает на исполнение:
- '<SYSTEM32>\netsh.exe' advfirewall firewall delete rule name=Action
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\rundll32.exe' fldrclnr.dll,Wizard_RunDLL
- '<SYSTEM32>\netsh.exe' advfirewall firewall delete rule name=Blockit
- '<SYSTEM32>\sc.exe' config ACTION_SVC start= disabled
- '<SYSTEM32>\sc.exe' stop ACTION_SVC
- '<SYSTEM32>\sc.exe' delete ACTION_SVC
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\Explorer.EXE
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\$inst\0002.tmp
- %TEMP%\$inst\0001.tmp
- %TEMP%\$mxw.tmp\Action Crack.exe
- %ProgramFiles%\Mirillis\Action!\Action Crack.exe
- %HOMEPATH%\Desktop\Mirillis Action!.lnk
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\2.tmp
- %TEMP%\$mxw.tmp\Action Crack Installer.exe
- %TEMP%\$mxw.tmp\acstp.exe
- %TEMP%\$mxw.tmp\rplc.exe
Удаляет следующие файлы:
- %TEMP%\$inst\2.tmp
- %TEMP%\$mxw.tmp\rplc.exe
- %TEMP%\$mxw.tmp\Action Crack.exe
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\0001.tmp
- %TEMP%\$inst\0002.tmp
Изменяет файл HOSTS.
Другое:
Ищет следующие окна:
- ClassName: 'BaseBar' WindowName: 'ChanApp'
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'CSCHiddenWindow' WindowName: ''
- ClassName: 'OleMainThreadWndClass' WindowName: ''
- ClassName: 'Shell_TrayWnd' WindowName: ''
- ClassName: 'Proxy Desktop' WindowName: ''
- ClassName: 'Action_WndClass_1000' WindowName: 'Action!'
