Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM BEService.exe
- '<SYSTEM32>\taskkill.exe' /F /IM EasyAntiCheat.exe
- '<SYSTEM32>\taskkill.exe' /F /IM FortniteLauncher.exe
- '<SYSTEM32>\taskkill.exe' /F /IM EpicGamesLauncher.exe
- '<SYSTEM32>\taskkill.exe' /F /IM UnrealCEFSubProcess.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\cff9.tmp\d009.tmp\d00a.bat
- nul
- %TEMP%\cff9.tmp\d009.tmp\[xyr]
Удаляет следующие файлы
- %TEMP%\cff9.tmp\d009.tmp\[xyr]
- <SYSTEM32>\restore\MachineGuid.txt
- %WINDIR%\inf\setupapi.dev.log
Подменяет следующие файлы
- %TEMP%\cff9.tmp\d009.tmp\[xyr]
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\CFF9.tmp\D009.tmp\D00A.bat <Полный путь к файлу>"
- '<SYSTEM32>\cmd.exe' /c "prompt #$H#$E# & echo on & for %b in (1) do rem"
- '<SYSTEM32>\sc.exe' config winmgmt start=demand
- '<SYSTEM32>\sc.exe' start winmgmt
- '<SYSTEM32>\timeout.exe' 1
- '<SYSTEM32>\findstr.exe' /v /a:06 /R "^$" "[XYR]" nul
- '<SYSTEM32>\reg.exe' delete "HKCU\Software\Epic Games" /f
- '<SYSTEM32>\reg.exe' delete "HKCU\Software\WOW6432Node\Epic Games" /f
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\WOW6432Node\Epic Games" /f
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\WOW6432Node\EpicGames" /f
- '<SYSTEM32>\reg.exe' delete "HKU\.DEFAULT\Software\Epic Games" /f
- '<SYSTEM32>\reg.exe' delete "HKU\S-1-5-18\Software\Epic Games" /f
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Classes\com.epicgames.launcher" /f
- '<SYSTEM32>\reg.exe' delete "HKCR\com.epicgames.launcher" /f
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\restore" /r /d y
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\restore" /grant Everyone:f /t
