Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /im a.exe /f
- '<SYSTEM32>\taskkill.exe' /im b.exe /f
- '<SYSTEM32>\taskkill.exe' /im c.exe /f
- '<SYSTEM32>\taskkill.exe' /im d.exe /f
- '<SYSTEM32>\taskkill.exe' /im e.exe /f
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\2c32.tmp\2c43.tmp\2c44.bat
- %APPDATA%\mycustomsyllablelesson.bat
- %APPDATA%\mainmenu.bat
- %APPDATA%\kr6motion.bat
- %APPDATA%\kr5motion.bat
- %APPDATA%\kr4motion.bat
- %APPDATA%\kr3motion.bat
- %APPDATA%\kr2motion.bat
- %APPDATA%\kr1motion.bat
- %APPDATA%\numlessons.bat
- %TEMP%\4a3a.tmp\4a3b.tmp\4a3c.bat
- %TEMP%\ixp000.tmp\kb.exe
- %TEMP%\ixp000.tmp\data.win
- %TEMP%\ixp000.tmp\d3dx9_43.dll
- %APPDATA%\kb.exe
- %APPDATA%\key rollover lessons.exe
- %APPDATA%\c.exe
- %APPDATA%\b.exe
- %APPDATA%\a.exe
- %TEMP%\ixp000.tmp\options.ini
- %APPDATA%\officialsyllable.bat
Удаляет следующие файлы
- %APPDATA%\a.exe
- %APPDATA%\b.exe
- %APPDATA%\c.exe
- %APPDATA%\key rollover lessons.exe
- %APPDATA%\kb.exe
- %TEMP%\2c32.tmp\2c43.tmp\2c44.bat
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: 'AutoHotkey' WindowName: '%APPDATA%\b.exe'
- ClassName: 'AutoHotkey' WindowName: '%APPDATA%\c.exe'
- ClassName: 'AutoHotkey' WindowName: '%APPDATA%\a.exe'
- ClassName: '#32771' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\key rollover lessons.exe'
- '%TEMP%\ixp000.tmp\kb.exe'
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\2C32.tmp\2C43.tmp\2C44.bat <Полный путь к файлу>"' (со скрытым окном)
- '%TEMP%\ixp000.tmp\kb.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\2C32.tmp\2C43.tmp\2C44.bat <Полный путь к файлу>"
- '<SYSTEM32>\timeout.exe' /t 1
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\4A3A.tmp\4A3B.tmp\4A3C.bat "%APPDATA%\Key Rollover Lessons.exe""
