Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %WINDIR%\tasks\at1.job
- <SYSTEM32>\tasks\at1
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
Запускает на исполнение
- '%WINDIR%\syswow64\at.exe' 9:00 /interactive %WINDIR%\svhost.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\svhost.exe
- %WINDIR%\temp\~df57d99382a309e3ab.tmp
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\internet explorer\recovery\high\active\{196cd617-e73c-11e9-ae71-f034a709af15}.dat
- %WINDIR%\temp\~df986efa1492706dbb.tmp
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\internet explorer\recovery\high\active\recoverystore.{196cd616-e73c-11e9-ae71-f034a709af15}.dat
- %WINDIR%\syswow64\config\systemprofile\favorites\links\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\favorites\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\internet explorer\quick launch\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\internet explorer\quick launch\launch internet explorer browser.lnk
- D:\system volume information.exe
- D:\$recycle.bin.exe
- %WINDIR%.exe
- C:\users.exe
- C:\totalcmd.exe
- C:\system volume information.exe
- C:\recovery.exe
- <Текущая директория>.exe
- %PROGRAMDATA%.exe
- %ProgramFiles(x86)%.exe
- %ProgramFiles%.exe
- C:\perflogs.exe
- C:\msocache.exe
- C:\far2.exe
- C:\documents and settings.exe
- C:\$recycle.bin.exe
- C:\startup.exe
- %WINDIR%\syswow64\svhost.exe
- %WINDIR%\syswow64\system.exe
- %WINDIR%\driver.db
- %WINDIR%\syswow64\commander.exe
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\windows\privacie\index.dat
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\internet explorer\msimgsiz.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\svhost.exe
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\internet explorer\quick launch\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\favorites\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\favorites\links\desktop.ini
Удаляет следующие файлы
- %WINDIR%\tasks\adobe flash player updater.job
- %WINDIR%\tasks\sa.dat
- <SYSTEM32>\tasks\adobe flash player updater
Сетевая активность
UDP
- DNS ASK in#####e.freevnn.com
Другое
Ищет следующие окна
- ClassName: 'Static' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\commander.exe' /C at 9:00 /interactive %WINDIR%\svhost.exe
- '%WINDIR%\syswow64\system.exe' copy%ProgramFiles%.exe
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copy%ProgramFiles(x86)%.exe
- '%WINDIR%\syswow64\system.exe' copy%ProgramFiles(x86)%.exe
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copy%PROGRAMDATA%.exe
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copy<Текущая директория>.exe
- '%WINDIR%\syswow64\system.exe' copy<Текущая директория>.exe
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyc:\Recovery.exe
- '%WINDIR%\syswow64\system.exe' copyc:\Recovery.exe
- '%WINDIR%\syswow64\system.exe' copyc:\Users.exe
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyc:\Users.exe
- '%WINDIR%\syswow64\system.exe' copyc:\totalcmd.exe
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copy%WINDIR%.exe
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyc:\System Volume Information.exe
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copy%ProgramFiles%.exe
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyc:\totalcmd.exe
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyd:\$RECYCLE.BIN.exe
- '%WINDIR%\syswow64\system.exe' copy%WINDIR%.exe
- '%WINDIR%\syswow64\system.exe' copy%PROGRAMDATA%.exe
- '%WINDIR%\syswow64\system.exe' copyd:\$RECYCLE.BIN.exe
- '%WINDIR%\syswow64\system.exe' copyc:\Documents and Settings.exe
- '%WINDIR%\syswow64\system.exe' copyc:\System Volume Information.exe
- '%WINDIR%\syswow64\system.exe' copyc:\PerfLogs.exe
- '%WINDIR%\syswow64\system.exe' copyd:\System Volume Information.exe
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyc:\PerfLogs.exe
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyc:\Documents and Settings.exe
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copy\startup.exe
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyc:\$Recycle.Bin.exe
- '%WINDIR%\syswow64\system.exe' copyc:\$Recycle.Bin.exe
- '%WINDIR%\svhost.exe'
- '%WINDIR%\syswow64\system.exe' copy\startup.exe
- '%WINDIR%\syswow64\system.exe' copyc:\MSOCache.exe
- '%WINDIR%\syswow64\commander.exe' /C schtasks /run /tn at1
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyd:\System Volume Information.exe
- '%WINDIR%\syswow64\system.exe' copyc:\Far2.exe
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyc:\Far2.exe
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyc:\MSOCache.exe
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyc:\System Volume Information.exe' (со скрытым окном)
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyc:\totalcmd.exe' (со скрытым окном)
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyd:\$RECYCLE.BIN.exe' (со скрытым окном)
- '%WINDIR%\svhost.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\commander.exe' /C at 9:00 /interactive %WINDIR%\svhost.exe' (со скрытым окном)
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyc:\Users.exe' (со скрытым окном)
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copy\startup.exe' (со скрытым окном)
- '%WINDIR%\syswow64\commander.exe' /C schtasks /run /tn at1' (со скрытым окном)
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copy%WINDIR%.exe' (со скрытым окном)
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyc:\Recovery.exe' (со скрытым окном)
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyc:\Documents and Settings.exe' (со скрытым окном)
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copy<Текущая директория>.exe' (со скрытым окном)
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyc:\Far2.exe' (со скрытым окном)
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copy%PROGRAMDATA%.exe' (со скрытым окном)
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyd:\System Volume Information.exe' (со скрытым окном)
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyc:\MSOCache.exe' (со скрытым окном)
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copy%ProgramFiles%.exe' (со скрытым окном)
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyc:\$Recycle.Bin.exe' (со скрытым окном)
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copyc:\PerfLogs.exe' (со скрытым окном)
- '%WINDIR%\syswow64\commander.exe' /C %WINDIR%\SysWOW64\system.exe copy%ProgramFiles(x86)%.exe' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\schtasks.exe' /run /tn at1
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' -Embedding
- '%WINDIR%\syswow64\ie4uinit.exe' -ShowQLIcon
