Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\PSEXESVC] 'ImagePath' = '%WINDIR%\PSEXESVC.exe'
Создает следующие сервисы
- 'PSEXESVC' %WINDIR%\PSEXESVC.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-1sj5v.tmp\<Имя файла>.tmp
- %PROGRAMDATA%\7z\oosu10.resources.dll
- %PROGRAMDATA%\7z\oosu10.exe
- %PROGRAMDATA%\7z\ooshutup10.cfg
- %PROGRAMDATA%\7z\oo.7z
- %PROGRAMDATA%\7z\7z.exe
- %PROGRAMDATA%\7z\7z.dll
- %TEMP%\is-omr6t.tmp\psexec.exe
- %TEMP%\is-omr6t.tmp\oo.7z
- %TEMP%\is-omr6t.tmp\7z.exe
- %TEMP%\is-omr6t.tmp\7z.dll
- %ProgramFiles(x86)%\jack.nicklaus.perfect.golf\unins000.dat
- %TEMP%\is-omr6t.tmp\is-3gfvq.tmp
- %TEMP%\is-omr6t.tmp\is-fo2ev.tmp
- %PROGRAMDATA%\setup\is-bifhr.tmp
- %TEMP%\is-omr6t.tmp\is-mgl0f.tmp
- %ProgramFiles(x86)%\jack.nicklaus.perfect.golf\is-3sigf.tmp
- %TEMP%\is-omr6t.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-omr6t.tmp\_isetup\_setup64.tmp
- %TEMP%\is-76qu2.tmp\<Имя файла>.tmp
- %TEMP%\is-fokci.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-fokci.tmp\_isetup\_setup64.tmp
- %WINDIR%\psexesvc.exe
- unc\sjbrbiqga\pipe\psexesvc
Удаляет следующие файлы
- %TEMP%\is-fokci.tmp\_isetup\_setup64.tmp
- %TEMP%\is-fokci.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-1sj5v.tmp\<Имя файла>.tmp
- %PROGRAMDATA%\7z\oosu10.resources.dll
- %TEMP%\is-omr6t.tmp\psexec.exe
- %TEMP%\is-omr6t.tmp\oo.7z
- %TEMP%\is-omr6t.tmp\dotnetfx35setup.exe
- %TEMP%\is-omr6t.tmp\7z.dll
- %TEMP%\is-omr6t.tmp\7z.exe
- %TEMP%\is-omr6t.tmp\_isetup\_setup64.tmp
- %TEMP%\is-omr6t.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-76qu2.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- %ProgramFiles(x86)%\jack.nicklaus.perfect.golf\is-3sigf.tmp в %ProgramFiles(x86)%\jack.nicklaus.perfect.golf\unins000.exe
- %TEMP%\is-omr6t.tmp\is-mgl0f.tmp в %TEMP%\is-omr6t.tmp\psexec.exe
- %PROGRAMDATA%\setup\is-bifhr.tmp в %PROGRAMDATA%\setup\setup.dat
- %TEMP%\is-omr6t.tmp\is-fo2ev.tmp в %TEMP%\is-omr6t.tmp\oo.7z
- %TEMP%\is-omr6t.tmp\is-3gfvq.tmp в %TEMP%\is-omr6t.tmp\dotnetfx35setup.exe
- %PROGRAMDATA%\setup\setup.dat в %PROGRAMDATA%\setup\setup.exe
- %PROGRAMDATA%\setup\setup.exe в %PROGRAMDATA%\microsoft\windows\start menu\programs\startup\setup.exe
Подменяет следующие файлы
- %PROGRAMDATA%\7z\oosu10.resources.dll
Другое
Создает и запускает на исполнение
- '%TEMP%\is-1sj5v.tmp\<Имя файла>.tmp' /SL5="$5023C,6299032,310784,<Полный путь к файлу>"
- '%TEMP%\is-76qu2.tmp\<Имя файла>.tmp' /SL5="$C020A,6299032,310784,<Полный путь к файлу>" /SILENT /PASSWORD=upsAddate3365
- '%TEMP%\is-omr6t.tmp\dotnetfx35setup.exe' /Q /Norestart
- '%PROGRAMDATA%\7z\7z.exe' e "%PROGRAMDATA%\7z\oo.7z" -o"%PROGRAMDATA%\7z" -y -p1337
- '%PROGRAMDATA%\7z\oosu10.exe' /admin /force /quiet ooshutup10.cfg
- '%WINDIR%\psexesvc.exe'
- '%PROGRAMDATA%\microsoft\windows\start menu\programs\startup\setup.exe'
- '%PROGRAMDATA%\microsoft\windows\start menu\programs\startup\setup.exe' /SILENT /PASSWORD=upssddate33x4
- '%PROGRAMDATA%\7z\7z.exe' e "%PROGRAMDATA%\7z\oo.7z" -o"%PROGRAMDATA%\7z" -y -p1337' (со скрытым окном)
- '%TEMP%\is-omr6t.tmp\psexec.exe' -accepteula -s shutdown.exe -f -r -t 00' (со скрытым окном)
- '<SYSTEM32>\shutdown.exe' -f -r -t 00' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\shutdown.exe' -f -r -t 00
Пытается завершить работу операционной системы Windows.
