Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\net.exe' stop "ExpressVPNService"
- '<SYSTEM32>\taskkill.exe' /IM xvpnd.exe /F
- '<SYSTEM32>\taskkill.exe' /IM expressvpn.exe /F
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\RarSFX0\v4\icons\354.png
- %TEMP%\RarSFX0\v4\icons\355.png
- %TEMP%\RarSFX0\v4\icons\338.png
- %TEMP%\RarSFX0\v4\icons\345.png
- %TEMP%\RarSFX0\v4\icons\383.png
- %TEMP%\RarSFX0\v4\icons\40.png
- %TEMP%\RarSFX0\v4\icons\357.png
- %TEMP%\RarSFX0\v4\icons\379.png
- %TEMP%\RarSFX0\v4\icons\31.png
- %TEMP%\RarSFX0\v4\icons\311.png
- %TEMP%\RarSFX0\v4\icons\292.png
- %TEMP%\RarSFX0\v4\icons\308.png
- %TEMP%\RarSFX0\v4\icons\327.png
- %TEMP%\RarSFX0\v4\icons\335.png
- %TEMP%\RarSFX0\v4\icons\321.png
- %TEMP%\RarSFX0\v4\icons\324.png
- %TEMP%\RarSFX0\v4\icons\410.png
- %TEMP%\RarSFX0\v4\icons\516.png
- %TEMP%\RarSFX0\v4\icons\523.png
- %TEMP%\RarSFX0\v4\icons\506.png
- %TEMP%\RarSFX0\v4\icons\513.png
- %TEMP%\RarSFX0\v4\icons\58.png
- %TEMP%\RarSFX0\v4\icons\65.png
- %TEMP%\RarSFX0\v4\icons\54.png
- %TEMP%\RarSFX0\v4\icons\56.png
- %TEMP%\RarSFX0\v4\icons\466.png
- %TEMP%\RarSFX0\v4\icons\471.png
- %TEMP%\RarSFX0\v4\icons\44.png
- %TEMP%\RarSFX0\v4\icons\464.png
- %TEMP%\RarSFX0\v4\icons\498.png
- %TEMP%\RarSFX0\v4\icons\502.png
- %TEMP%\RarSFX0\v4\icons\48.png
- %TEMP%\RarSFX0\v4\icons\488.png
- %TEMP%\RarSFX0\v4\icons\159.png
- %TEMP%\RarSFX0\v4\icons\161.png
- %TEMP%\RarSFX0\v4\icons\139.png
- %TEMP%\RarSFX0\v4\icons\150.png
- %TEMP%\RarSFX0\v4\icons\183.png
- %TEMP%\RarSFX0\v4\icons\185.png
- %TEMP%\RarSFX0\v4\icons\173.png
- %TEMP%\RarSFX0\v4\icons\177.png
- %TEMP%\RarSFX0\v4\credentials
- %TEMP%\RarSFX0\v4\userdata2.dat
- %TEMP%\RarSFX0\Simple ExpressVpn Activator.bat
- %TEMP%\RarSFX0\v4\access_token
- %TEMP%\RarSFX0\v4\icons\130.png
- %TEMP%\RarSFX0\v4\icons\131.png
- %TEMP%\RarSFX0\v4\config.ovpn
- %TEMP%\RarSFX0\v4\prefs\c4\c492704256957a2a\ExpressVpn.Client.Engine.Preferences
- %TEMP%\RarSFX0\v4\icons\190.png
- %TEMP%\RarSFX0\v4\icons\244.png
- %TEMP%\RarSFX0\v4\icons\245.png
- %TEMP%\RarSFX0\v4\icons\239.png
- %TEMP%\RarSFX0\v4\icons\242.png
- %TEMP%\RarSFX0\v4\icons\279.png
- %TEMP%\RarSFX0\v4\icons\288.png
- %TEMP%\RarSFX0\v4\icons\250.png
- %TEMP%\RarSFX0\v4\icons\274.png
- %TEMP%\RarSFX0\v4\icons\199.png
- %TEMP%\RarSFX0\v4\icons\210.png
- %TEMP%\RarSFX0\v4\icons\191.png
- %TEMP%\RarSFX0\v4\icons\197.png
- %TEMP%\RarSFX0\v4\icons\237.png
- %TEMP%\RarSFX0\v4\icons\238.png
- %TEMP%\RarSFX0\v4\icons\214.png
- %TEMP%\RarSFX0\v4\icons\232.png
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
Запускает на исполнение:
- '<SYSTEM32>\xcopy.exe' v4 "C:\ProgramData\ExpressVPN\v4" /y
- '<SYSTEM32>\net1.exe' stop "ExpressVPNService"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\Simple ExpressVPN Activator.bat" "
