Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'Windows Start-Up Application' = '%PROGRAMDATA%\IntelCore\IntelConfigService.exe'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Windows Start-Up Application' = '%PROGRAMDATA%\IntelCore\IntelConfigService.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Windows Start-Up Application' = '%PROGRAMDATA%\IntelCore\IntelConfigService.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\windowsstartupapplication.lnk
Изменения в файловой системе
Создает следующие файлы
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
- %TEMP%\~mpa25c.tmp\macroexpertio.sys
- %TEMP%\~mpa25c.tmp\surekeyboardstate.dll
- %TEMP%\~mpa25c.tmp\playerassistant.dll
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\appditel[2].exe
- %PROGRAMDATA%\chromebackup\appditel.exe
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\appditel[1].exe
- %PROGRAMDATA%\commonsfiles\cpu_info.txt
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\cpu_info[1].txt
- %PROGRAMDATA%\systemnetwork\xcoremanagment.exe
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\xcoremanagment[1].exe
- %PROGRAMDATA%\intelcore\applicationsframehost.exe
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\applicationsframehost[1].exe
- %PROGRAMDATA%\intelcore\wrap.exe
- %TEMP%\~mpa25c.tmp\gslib_ui_defresu.dll
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\0u8lpyu9\wrap[1].exe
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\config[1].json
- %PROGRAMDATA%\intelcore\intelconfigservice.exe
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\caasbycl\intelconfigservice[1].exe
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\index.dat
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\aoq38r20\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\vvdsifkl\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\1k1belog\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\5a8s9v3q\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %PROGRAMDATA%\intelcore\config.json
- %TEMP%\~mpa25c.tmp\~ma9bd1.exe
Присваивает атрибут 'скрытый' для следующих файлов
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\5a8s9v3q\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\1k1belog\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\vvdsifkl\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\aoq38r20\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
- %PROGRAMDATA%\intelcore\intelconfigservice.exe
- <LS_APPDATA>\microsoft\windows\history\low\desktop.ini
- %PROGRAMDATA%\commonsfiles\cpu_info.txt
- %PROGRAMDATA%\chromebackup\appditel.exe
Удаляет следующие файлы
- <LS_APPDATA>\microsoft\windows\<INETFILES>\content.ie5\re1n75kr\appditel[2].exe
Сетевая активность
Подключается к
- '45.##.214.172':7
TCP
Запросы HTTP GET
- http://18#.#89.12.75/15Build/x64/Files/IntelConfigService.exe
- http://18#.#89.12.75/15Build/x64/Files/config.json
- http://18#.#89.12.75/15Build/x64/Files/Wrap.exe
- http://18#.#89.12.75/15Build/x64/Files/ApplicationsFrameHost.exe
- http://18#.#89.12.75/15Build/x64/Files/xCoreManagment.exe
- http://18#.#89.12.75/15Build/x64/Files/cpu_info.txt
- http://18#.#89.12.75/15Build/appditel.exe
Запросы HTTP POST
- /client/setClientConfig?cl############### via 45.##.214.172
Другое
Создает и запускает на исполнение
- '%PROGRAMDATA%\intelcore\intelconfigservice.exe'
- '%PROGRAMDATA%\systemnetwork\xcoremanagment.exe'
- '%PROGRAMDATA%\intelcore\wrap.exe'
- '%PROGRAMDATA%\intelcore\applicationsframehost.exe' --daemonized
- '%PROGRAMDATA%\chromebackup\appditel.exe'
- '%TEMP%\~mpa25c.tmp\~ma9bd1.exe' /p"%PROGRAMDATA%\ChromeBackup\appditel.exe"
- '<SYSTEM32>\cmd.exe' /c icacls %PROGRAMDATA%\IntelCore /deny "%username%:(R,REA,RA)"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c icacls %PROGRAMDATA%\IntelCore /deny "Users:(R,REA,RA)"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c icacls %PROGRAMDATA%\IntelCore /deny "Administrators:(R,REA,RA))"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c icacls %PROGRAMDATA%\SystemNetwork /deny "%username%:(R,REA,RA,RD)"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c icacls %PROGRAMDATA%\SystemNetwork /deny "Users:(R,REA,RA,RD)"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c icacls %PROGRAMDATA%\SystemNetwork /deny "Administrators:(R,REA,RA,RD))"' (со скрытым окном)
- '%PROGRAMDATA%\intelcore\wrap.exe' ' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c icacls %PROGRAMDATA%\ChromeBackup /deny "%username%:(R,REA,RA,RD)"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c icacls %PROGRAMDATA%\ChromeBackup /deny "Users:(R,REA,RA,RD)"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c icacls %PROGRAMDATA%\ChromeBackup /deny "Administrators:(R,REA,RA,RD))"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\rundll32.exe' "<SYSTEM32>\WININET.dll",DispatchAPICall 1
- '<SYSTEM32>\icacls.exe' %PROGRAMDATA%\ChromeBackup /deny "user:(R,REA,RA,RD)"
- '<SYSTEM32>\cmd.exe' /c icacls %PROGRAMDATA%\ChromeBackup /deny "Administrators:(R,REA,RA,RD))"
- '<SYSTEM32>\cmd.exe' /c icacls %PROGRAMDATA%\ChromeBackup /deny "Users:(R,REA,RA,RD)"
- '<SYSTEM32>\cmd.exe' /c icacls %PROGRAMDATA%\ChromeBackup /deny "%username%:(R,REA,RA,RD)"
- '<SYSTEM32>\cmd.exe' /c "%PROGRAMDATA%\IntelCore\ApplicationsFrameHost.exe" --daemonized
- '<SYSTEM32>\icacls.exe' %PROGRAMDATA%\SystemNetwork /deny "Administrators:(R,REA,RA,RD))"
- '<SYSTEM32>\icacls.exe' %PROGRAMDATA%\SystemNetwork /deny "Users:(R,REA,RA,RD)"
- '<SYSTEM32>\icacls.exe' %PROGRAMDATA%\SystemNetwork /deny "user:(R,REA,RA,RD)"
- '<SYSTEM32>\cmd.exe' /c icacls %PROGRAMDATA%\SystemNetwork /deny "Administrators:(R,REA,RA,RD))"
- '<SYSTEM32>\cmd.exe' /c icacls %PROGRAMDATA%\SystemNetwork /deny "Users:(R,REA,RA,RD)"
- '<SYSTEM32>\cmd.exe' /c icacls %PROGRAMDATA%\SystemNetwork /deny "%username%:(R,REA,RA,RD)"
- '<SYSTEM32>\icacls.exe' %PROGRAMDATA%\IntelCore /deny "Administrators:(R,REA,RA))"
- '<SYSTEM32>\icacls.exe' %PROGRAMDATA%\IntelCore /deny "Users:(R,REA,RA)"
- '<SYSTEM32>\icacls.exe' %PROGRAMDATA%\IntelCore /deny "user:(R,REA,RA)"
- '<SYSTEM32>\cmd.exe' /c icacls %PROGRAMDATA%\IntelCore /deny "Administrators:(R,REA,RA))"
- '<SYSTEM32>\cmd.exe' /c icacls %PROGRAMDATA%\IntelCore /deny "Users:(R,REA,RA)"
- '<SYSTEM32>\cmd.exe' /c icacls %PROGRAMDATA%\IntelCore /deny "%username%:(R,REA,RA)"
- '<SYSTEM32>\icacls.exe' %PROGRAMDATA%\ChromeBackup /deny "Users:(R,REA,RA,RD)"
- '<SYSTEM32>\icacls.exe' %PROGRAMDATA%\ChromeBackup /deny "Administrators:(R,REA,RA,RD))"
