Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /IM taskmgr.exe
- '%WINDIR%\syswow64\taskkill.exe' /IM ProcessHacker.exe
- '%WINDIR%\syswow64\taskkill.exe' /IM procexp.exe
- '%WINDIR%\syswow64\taskkill.exe' /IM procexp64.exe
- '%WINDIR%\syswow64\taskkill.exe' /IM Procmon.exe
- '%WINDIR%\syswow64\taskkill.exe' /IM cheatengine-x86_64.exe
- '%WINDIR%\syswow64\taskkill.exe' /IM Decompiler CE Trainer v1.0.exe
- '%WINDIR%\syswow64\taskkill.exe' /IM WPE PRO.exe
- '%WINDIR%\syswow64\taskkill.exe' /IM AMo.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\speedyattack.exe
- %TEMP%\cetrainers\cet5be.tmp\cet_archive.dat
- %TEMP%\cetrainers\cet5be.tmp\speedyattack.exe
- %TEMP%\cetrainers\cet5be.tmp\extracted\cet_trainer.cetrainer
- %TEMP%\cetrainers\cet5be.tmp\extracted\service_guard.exe
- %TEMP%\cetrainers\cet5be.tmp\extracted\defines.lua
- %TEMP%\cetrainers\cet5be.tmp\extracted\speedyattack.exe
- %TEMP%\cetrainers\cet5be.tmp\extracted\lua53-64.dll
- %TEMP%\pse20\a9f118dddddf307740d7fb944af2fe63\php.ini
- %TEMP%\evb1a90.tmp
- %TEMP%\evb1b2d.tmp
- %TEMP%\evb1b4d.tmp
Удаляет следующие файлы
- %TEMP%\cetrainers\cet5be.tmp\extracted\cet_trainer.cetrainer
Сетевая активность
TCP
Запросы HTTP GET
- /unlock.txt via ka####hack.my1.ru
- http://www.ka####hack.my1.ru/security.txt
UDP
- DNS ASK ka####hack.my1.ru
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\rarsfx0\speedyattack.exe'
- '%TEMP%\cetrainers\cet5be.tmp\speedyattack.exe' -ORIGIN:"%TEMP%\RarSFX0\"
- '%TEMP%\cetrainers\cet5be.tmp\extracted\speedyattack.exe' "%TEMP%\cetrainers\CET5BE.tmp\extracted\CET_TRAINER.CETRAINER" "-ORIGIN:%TEMP%\RarSFX0\"
- '%TEMP%\cetrainers\cet5be.tmp\extracted\service_guard.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c "TASKKILL /IM taskmgr.exe"
- '%WINDIR%\syswow64\cmd.exe' /c "TASKKILL /IM ProcessHacker.exe"
- '%WINDIR%\syswow64\cmd.exe' /c "TASKKILL /IM procexp.exe"
- '%WINDIR%\syswow64\cmd.exe' /c "TASKKILL /IM procexp64.exe"
- '%WINDIR%\syswow64\cmd.exe' /c "TASKKILL /IM Procmon.exe"
- '%WINDIR%\syswow64\cmd.exe' /c "TASKKILL /IM cheatengine-x86_64.exe"
- '%WINDIR%\syswow64\cmd.exe' /c "TASKKILL /IM Decompiler CE Trainer v1.0.exe"
- '%WINDIR%\syswow64\cmd.exe' /c "TASKKILL /IM WPE PRO.exe"
- '%WINDIR%\syswow64\cmd.exe' /c "tasklist"
- '%WINDIR%\syswow64\tasklist.exe'
- '%WINDIR%\syswow64\cmd.exe' /c "TASKKILL /IM AMo.exe"
