Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\desktop.ini.lnk
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /IM svchost.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM gcc-win32.exe
- '%WINDIR%\syswow64\taskkill.exe' /IM odbcad32.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\system32\mmc.exe
- %APPDATA%\system32\config.json
- %APPDATA%\system32\pcmd.vbs
- %APPDATA%\system32\startps.bat
- %APPDATA%\system32\hps.vbs
- %APPDATA%\system32\ps.ps1
- %APPDATA%\system32\hostprocesx86.exe
- %APPDATA%\system32\exitg.vbs
- %APPDATA%\system32\startgc.cmd
- %APPDATA%\system32\gcc-win32.exe
- %APPDATA%\system32\updatessm.vbs
- %APPDATA%\system32\updatemssm.vbs
- %APPDATA%\system32\startupdate.cmd
- %APPDATA%\system32\startmupdate.cmd
- %TEMP%\dup2patcher.dll
- %APPDATA%\system32\patch.exe
- %APPDATA%\system32\psrss.exe
- %APPDATA%\system32\odbcad32.exe
- %APPDATA%\system32\svchost.exe
- %APPDATA%\system32\log.txt
Сетевая активность
Подключается к
- 'xm#####.nanopool.org':14433
UDP
- DNS ASK xm#####.nanopool.org
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\system32\psrss.exe'
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\system32\exitg.vbs"
- '%APPDATA%\system32\gcc-win32.exe' -p123
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy ByPass -File %APPDATA%\system32\ps.ps1
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\system32\hps.vbs" -ExecutionPolicy ByPass -File "%APPDATA%\system32\ps.ps1"
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\system32\updatessm.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\system32\updatemssm.vbs"
- '%APPDATA%\system32\hostprocesx86.exe'
- '%APPDATA%\system32\odbcad32.exe' -p123
- '%APPDATA%\system32\mmc.exe' -p123
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\system32\pcmd.vbs"
- '%APPDATA%\system32\svchost.exe'
- '%APPDATA%\system32\patch.exe'
- '%WINDIR%\syswow64\cmd.exe' /c startupdate.cmd' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy ByPass -File %APPDATA%\system32\ps.ps1' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c startgc.cmd' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c startps.bat' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c startmupdate.cmd' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c startps.bat
- '%WINDIR%\syswow64\cmd.exe' /c startupdate.cmd
- '%WINDIR%\syswow64\cmd.exe' /c startmupdate.cmd
- '%WINDIR%\syswow64\cmd.exe' /c startgc.cmd
