Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Adobe QuikInstall' = '%APPDATA%\Adobe\Adobe QuikInstall.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\system.lnk
- %APPDATA%\microsoft\windows\start menu\programs\startup\02457496074c2a0694993ed94adb26b36fffd66f.lnk
Изменения в файловой системе
Создает следующие файлы
- C:\driverinto\0w075p7czo02vd7adffi.exe
- %APPDATA%\adobe\adobe quikinstall.exe
- %APPDATA%\sun\watchdog.data
- %APPDATA%\vortex\watchdog.data
- %APPDATA%\obsidium\watchdog.data
- %APPDATA%\sun\yourphone.exe
- %APPDATA%\vortex\securityhealthservice.exe
- %APPDATA%\obsidium\runtime broker.exe
- %APPDATA%\notepad\media.zip
- C:\driverinto\system.lnk
- C:\driverinto\system.vbe
- C:\driverinto\systeam.exe
- C:\driverinto\vmcheck32.dll
- C:\driverinto\02457496074c2a0694993ed94adb26b36fffd66f.lnk
- C:\driverinto\viqgjwhhetbjswbsbetnvsxofw3vma.bat
- C:\driverinto\starter.exe
- C:\driverinto\dogs\yourphone.exe
- C:\driverinto\dogs\securityhealthservice.exe
- C:\driverinto\dogs\runtime broker.exe
- C:\driverinto\dogs\adobe quikinstall.exe
- C:\driverinto\dclib\rs2300f068121707def35df4f7b5d2bc8a016bd37f.dclib
- C:\driverinto\dclib\as_c07f7472ed0469e66b90bea3f8afee0ab215080e.dclib
- C:\driverinto\dclib\antivm.dclib
- C:\driverinto\dclib\al6cf54c5afe698333513f91b6a461a8fe412e5694.dclib
- C:\driverinto\dclib\ak_33db8088017dd3ba0d1f7d0d6d211cb82b9f06dd.dclib
- C:\driverinto\sgvhlplk6odbogtnvbjcfdvbiula6y.bat
- C:\driverinto\rgeexsghxjfyq34qygbxu2rwrurpic.vbs
- C:\driverinto\watchdog.data
- %APPDATA%\notepad\system.vbe
Сетевая активность
Подключается к
- 'po###atik.site':80
UDP
- DNS ASK po###atik.site
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "C:\driverinto\rgEExsghxjfYQ34QYgbXu2RWRUrpic.vbs"
- 'C:\driverinto\0w075p7czo02vd7adffi.exe' -p997ee53f20d7810c256af9294c0a6924c6f49fb5
- '%WINDIR%\syswow64\wscript.exe' "C:\driverinto\System.vbe"
- 'C:\driverinto\starter.exe'
- 'C:\driverinto\systeam.exe'
- '%APPDATA%\adobe\adobe quikinstall.exe'
- '%APPDATA%\vortex\securityhealthservice.exe'
- '%APPDATA%\sun\yourphone.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\driverinto\SgVHlPLk6oDBOGTnvbjcfdvbiuLa6Y.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\driverinto\ViQgJWHheTBjSWBSbETNvsxofw3vMA.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Obsidium\Runtime Broker.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Vortex\SecurityHealthService.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Sun\YourPhone.exe' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\driverinto\SgVHlPLk6oDBOGTnvbjcfdvbiuLa6Y.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\driverinto\ViQgJWHheTBjSWBSbETNvsxofw3vMA.bat" "
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Obsidium\Runtime Broker.exe
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Vortex\SecurityHealthService.exe
- '%WINDIR%\syswow64\cmd.exe' /C %APPDATA%\Sun\YourPhone.exe
