Техническая информация
Для обеспечения автозапуска и распространения:
Создает или изменяет следующие файлы:
- %ALLUSERSPROFILE%\Start Menu\Programs\Startup\0zkYS3d1.lnk
- %HOMEPATH%\Start Menu\Programs\Startup\0zkYS3d1.lnk
Вредоносные функции:
Создает и запускает на исполнение:
- '<LS_APPDATA>\Microsoft\TN4rDeZL.exe' "%APPDATA%\NWvjerJ51oqz\0zkYS3d1.exe" "%APPDATA%\Microsoft\uzZEv82L.exe" 2
- '%APPDATA%\Microsoft\uzZEv82L.exe' "%APPDATA%\NWvjerJ51oqz\0zkYS3d1.exe" "<LS_APPDATA>\Microsoft\TN4rDeZL.exe" 1
- '%APPDATA%\NWvjerJ51oqz\0zkYS3d1.exe' DuClgiZkYZmGttBD
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /C CACLS "Z:\.live" /E /G %USERNAME%:F /C & ATTRIB -R -A -H "Z:\.live"
- '<SYSTEM32>\cmd.exe' /C type "%APPDATA%\!OOOPS~1.RTF" > "%HOMEPATH%\Templates\!OoopsYourFilesLocked!.rtf"
- '<SYSTEM32>\cmd.exe' /C type "%APPDATA%\Microsoft\uzZEv82L.exe" > "<LS_APPDATA>\Microsoft\TN4rDeZL.exe" && "<LS_APPDATA>\Microsoft\TN4rDeZL.exe" "%APPDATA%\NWvjerJ51oqz\0zkYS3d1.exe" "%APPDATA%\Microsoft\uzZEv82L.e...
- '<SYSTEM32>\cacls.exe' "Z:\.live" /E /G %USERNAME%:F /C
- '<SYSTEM32>\cmd.exe' /C type "%APPDATA%\NWvjerJ51oqz\0zkYS3d1.exe" > "<LS_APPDATA>\Microsoft\TN4rDeZL.exe" && "<LS_APPDATA>\Microsoft\TN4rDeZL.exe" "%APPDATA%\NWvjerJ51oqz\0zkYS3d1.exe" "%APPDATA%\Microsoft\uzZEv82...
- '<SYSTEM32>\cmd.exe' /C "%APPDATA%\NWvjerJ51oqz\IWk40fer.cmd"
- '<SYSTEM32>\cmd.exe' /C type "<Полный путь к файлу>" > "%APPDATA%\NWVJER~1\0zkYS3d1.exe"
- '<SYSTEM32>\cmd.exe' /C type "%APPDATA%\NWvjerJ51oqz\0zkYS3d1.exe" > "%APPDATA%\Microsoft\uzZEv82L.exe" && "%APPDATA%\Microsoft\uzZEv82L.exe" "%APPDATA%\NWvjerJ51oqz\0zkYS3d1.exe" "<LS_APPDATA>\Microsoft\TN4rDeZL.e...
- '<SYSTEM32>\ping.exe' -n 3 localhost
Внедряет код в
следующие пользовательские процессы:
- TN4rDeZL.exe
Изменения в файловой системе:
Создает следующие файлы:
- %APPDATA%\3E6B838CED43005C.sek
- %APPDATA%\3E6B838CED43005C.pek
- %HOMEPATH%\Templates\!OoopsYourFilesLocked!.rtf
- %APPDATA%\!OoopsYourFilesLocked!.rtf
- %APPDATA%\NWvjerJ51oqz\IWk40fer.cmd
- %APPDATA%\NWvjerJ51oqz\0zkYS3d1.exe
- <LS_APPDATA>\Microsoft\TN4rDeZL.exe
- %APPDATA%\Microsoft\uzZEv82L.exe
Самоудаляется.
