Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\svchost.exe
Заражает следующие исполняемые файлы
- <Имя диска съемного носителя>:\winmine_backup.exe
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\bloc-notes.exe
- <Имя диска съемного носителя>:\winmine_backup.exe
- <Имя диска съемного носителя>:\rcxdec9.tmp
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tgslgepf.resources
- %TEMP%\vbc88aa.tmp
- %TEMP%\7pwjbvxs.out
- %TEMP%\7pwjbvxs.cmdline
- %TEMP%\7pwjbvxs.0.vb
- %TEMP%\whatdafock.txt
- %TEMP%\fshpnlja.resources
- %TEMP%\mbtoqew.resources
- %TEMP%\jebruvmq.exe
- %TEMP%\res448.tmp
- %TEMP%\vbc438.tmp
- %TEMP%\jebruvmq.out
- %TEMP%\res88bb.tmp
- %TEMP%\jebruvmq.cmdline
- %TEMP%\msnpsharp.dll
- %TEMP%\0ipfb.resources
- %TEMP%\dd_vcredist_x86_20191021174200.log
- %TEMP%\{33d1fd90-4274-48a1-9bc1-97e33d9c2d6f}\.ba1\bootstrapperapplicationdata.xml
- %TEMP%\{33d1fd90-4274-48a1-9bc1-97e33d9c2d6f}\.ba1\license.rtf
- %TEMP%\{33d1fd90-4274-48a1-9bc1-97e33d9c2d6f}\.ba1\logo.png
- %TEMP%\{33d1fd90-4274-48a1-9bc1-97e33d9c2d6f}\.ba1\thm.wxl
- %TEMP%\{33d1fd90-4274-48a1-9bc1-97e33d9c2d6f}\.ba1\thm.xml
- %TEMP%\{33d1fd90-4274-48a1-9bc1-97e33d9c2d6f}\.ba1\wixstdba.dll
- %TEMP%\svchost.exe
- %TEMP%\vcredist_x86.exe
- %TEMP%\jebruvmq.0.vb
- %TEMP%\windowsupdate.ico
Удаляет следующие файлы
- %TEMP%\res448.tmp
- %TEMP%\vbc438.tmp
- %TEMP%\jebruvmq.exe
- %TEMP%\jebruvmq.cmdline
- %TEMP%\jebruvmq.0.vb
- %TEMP%\jebruvmq.out
- %TEMP%\res88bb.tmp
- %TEMP%\vbc88aa.tmp
- %TEMP%\7pwjbvxs.out
- %TEMP%\7pwjbvxs.cmdline
- %TEMP%\7pwjbvxs.0.vb
- %TEMP%\mbtoqew.resources
- %TEMP%\fshpnlja.resources
- %TEMP%\windowsupdate.ico
Подменяет следующие исполняемые файлы
- <Имя диска съемного носителя>:\winmine.exe
Сетевая активность
Подключается к
- '17#.#3.169.14':80
Другое
Создает и запускает на исполнение
- '%TEMP%\vcredist_x86.exe'
- '%TEMP%\svchost.exe'
- '%TEMP%\vcredist_x86.exe' -burn.unelevated BurnPipe.{AF0AC4CE-28B9-4AA3-A6CE-198E9D045DC5} {20408C6E-9C77-41EF-9979-5A4B4AF8E3AE} 588
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\jebruvmq.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES448.tmp" "%TEMP%\vbc438.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\7pwjbvxs.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES88BB.tmp" "%TEMP%\vbc88AA.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\jebruvmq.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES448.tmp" "%TEMP%\vbc438.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\vbc.exe' /noconfig @"%TEMP%\7pwjbvxs.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES88BB.tmp" "%TEMP%\vbc88AA.tmp"
