Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /F /IM AndyCloudCPU32.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\aria2c.exe
- %TEMP%\x86\vccorlib140d.dll
- %TEMP%\x86\ucrtbased.dll
- %TEMP%\x86\msvcp140d.dll
- %TEMP%\x86\libuv.dll
- %TEMP%\x86\vccorlib140.dll
- %TEMP%\x86\vcruntime140.dll
- %TEMP%\x86\msvcp140.dll
- %TEMP%\x86\AndyCloudCPU32.exe
- %TEMP%\x64\vcruntime140d.dll
- %TEMP%\x64\vcruntime140.dll
- %TEMP%\x86\vcruntime140d.dll
- %TEMP%\x64\vccorlib140d.dll
- %TEMP%\x64\ucrtbased.dll
- %TEMP%\x64\msvcp140d.dll
- %TEMP%\x64\msvcp140.dll
- %TEMP%\x64\libuv.dll
- %TEMP%\x64\concrt140d.dll
- %TEMP%\x64\concrt140.dll
- %TEMP%\x64\AndyCloudCPU64.exe
- %TEMP%\nsf2.tmp\ns3.tmp
- %TEMP%\nsf2.tmp\nsExec.dll
- %TEMP%\nsf2.tmp\System.dll
- %TEMP%\x64\vccorlib140.dll
- %TEMP%\nsf2.tmp\ns4.tmp
Удаляет следующие файлы:
- %TEMP%\nsf2.tmp\ns3.tmp
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
Создает и запускает на исполнение:
- '%TEMP%\nsf2.tmp\ns3.tmp' "taskkill.exe" /F /IM AndyCloudCPU32.exe
- '%TEMP%\nsf2.tmp\ns4.tmp' "%TEMP%\aria2c.exe" -x2 --allow-overwrite=true --dir="%HOMEPATH%\Local Settings\Temp" --out="ID.txt" http://www.an###tats.com/ic/cloud.php?ui############################################
- '%TEMP%\aria2c.exe' -x2 --allow-overwrite=true --dir="%HOMEPATH%\Local Settings\Temp" --out="ID.txt" http://www.an###tats.com/ic/cloud.php?ui############################################
