Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\net.exe' stop UxSms
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\windows\themes\custom.theme
Другое
Ищет следующие окна
- ClassName: 'PersonalizationThemeChangeListener' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c sc delete KProcessHacker2
- '<SYSTEM32>\sc.exe' delete KProcessHacker2
- '<SYSTEM32>\cmd.exe' /c ipconfig /flushdns
- '<SYSTEM32>\ipconfig.exe' /flushdns
- '<SYSTEM32>\cmd.exe' /c net stop UxSms
- '<SYSTEM32>\net1.exe' stop UxSms
- '<SYSTEM32>\cmd.exe' /c sc config UxSms start=disabled
- '<SYSTEM32>\sc.exe' config UxSms start=disabled
- '<SYSTEM32>\cmd.exe' /c sc config UxSms start=auto
- '<SYSTEM32>\sc.exe' config UxSms start=auto
- '<SYSTEM32>\cmd.exe' /c net start UxSms
- '<SYSTEM32>\net.exe' start UxSms
- '<SYSTEM32>\net1.exe' start UxSms
- '<SYSTEM32>\cmd.exe' /c %WINDIR%\Resources\Themes\aero.theme
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\shell32.dll,Control_RunDLL <SYSTEM32>\desk.cpl desk,@Themes /Action:OpenTheme /file:"%WINDIR%\Resources\Themes\aero.theme"
