Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /t /f /IM KMSS.exe
- '<SYSTEM32>\netsh.exe' Advfirewall Firewall add rule name=0pen_Port_KMS dir=in action=allow protocol=TCP localport=
Изменения в файловой системе
Создает следующие файлы
- %CommonProgramFiles(x86)%\~zzcaoir.tmp
- %CommonProgramFiles(x86)%\files\bin\x86wdv\windivert.dll
- %CommonProgramFiles(x86)%\files\bin\x86wdv\fakeclient.exe
- %CommonProgramFiles(x86)%\files\bin\x64wdv\windivert64.sys
- %CommonProgramFiles(x86)%\files\bin\x64wdv\windivert.dll
- %CommonProgramFiles(x86)%\files\bin\x64wdv\fakeclient.exe
- %CommonProgramFiles(x86)%\files\bin\kmss.exe
- %CommonProgramFiles(x86)%\files\kmss.dat
- %CommonProgramFiles(x86)%\files\configure.xml
- %CommonProgramFiles(x86)%\files\x64\msvcr100.dll
- %CommonProgramFiles(x86)%\files\x86\msvcr100.dll
- %CommonProgramFiles(x86)%\files\x64\cleanospp.exe
- %CommonProgramFiles(x86)%\files\x86\cleanospp.exe
- %CommonProgramFiles(x86)%\files\uninstall.xml
- %CommonProgramFiles(x86)%\files\files.dat
- %CommonProgramFiles(x86)%\files\setup.exe
- %CommonProgramFiles(x86)%\files\bin\x86wdv\windivert32.sys
- %WINDIR%\temp\test.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %CommonProgramFiles(x86)%\~zzcaoir.tmp
Удаляет следующие файлы
- %CommonProgramFiles(x86)%\files\files.dat
- %CommonProgramFiles(x86)%\files\kmss.dat
Сетевая активность
TCP
- '12#.0.0.2':1688
- 'localhost':49174
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%CommonProgramFiles(x86)%\~zzcaoir.tmp' /convert /activate
- '%CommonProgramFiles(x86)%\files\files.dat' -y -pkmsauto
- '%CommonProgramFiles(x86)%\files\kmss.dat' -y -pkmsauto
- '%CommonProgramFiles(x86)%\files\bin\kmss.exe' -Port 1688 -PWin RandomKMSPID -PO14 RandomKMSPID -PO15 RandomKMSPID -AI 43200 -RI 43200 KillProcessOnPort
- '%WINDIR%\temp\test.dat' 127.0.0.2:1688 -l Windows -6
- '<SYSTEM32>\cmd.exe' /D /c copy <SYSTEM32>\Tasks\OInstall "%WINDIR%\Temp\OInstall.tmp" /Y' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /D /c files.dat -y -pkmsauto' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c REG QUERY HKLM\Software\Microsoft\Office /s /v Path /reg:64' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c REG QUERY HKLM\Software\WOW6432Node\Microsoft\Office /s /v Path' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /D /c kmss.dat -y -pkmsauto' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /t /f /IM KMSS.exe' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /D /c Netsh.exe Advfirewall Firewall delete rule name=0pen_Port_KMS protocol=TCP' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /D /c Netsh.exe Advfirewall Firewall add rule name=0pen_Port_KMS dir=in action=allow protocol=TCP localport=' (со скрытым окном)
- '%CommonProgramFiles(x86)%\files\bin\kmss.exe' -Port 1688 -PWin RandomKMSPID -PO14 RandomKMSPID -PO15 RandomKMSPID -AI 43200 -RI 43200 KillProcessOnPort' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /D /c %WINDIR%\Temp\test.dat 127.0.0.2:1688 -l Windows -6' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /D /c copy <SYSTEM32>\Tasks\OInstall "%WINDIR%\Temp\OInstall.tmp" /Y
- '<SYSTEM32>\cmd.exe' /D /c files.dat -y -pkmsauto
- '%WINDIR%\syswow64\cmd.exe' /c REG QUERY HKLM\Software\Microsoft\Office /s /v Path /reg:64
- '%WINDIR%\syswow64\reg.exe' QUERY HKLM\Software\Microsoft\Office /s /v Path /reg:64
- '%WINDIR%\syswow64\cmd.exe' /c REG QUERY HKLM\Software\WOW6432Node\Microsoft\Office /s /v Path
- '%WINDIR%\syswow64\reg.exe' QUERY HKLM\Software\WOW6432Node\Microsoft\Office /s /v Path
- '<SYSTEM32>\cmd.exe' /D /c kmss.dat -y -pkmsauto
- '<SYSTEM32>\cmd.exe' /D /c Netsh.exe Advfirewall Firewall delete rule name=0pen_Port_KMS protocol=TCP
- '<SYSTEM32>\netsh.exe' Advfirewall Firewall delete rule name=0pen_Port_KMS protocol=TCP
- '<SYSTEM32>\cmd.exe' /D /c Netsh.exe Advfirewall Firewall add rule name=0pen_Port_KMS dir=in action=allow protocol=TCP localport=
- '<SYSTEM32>\cmd.exe' /D /c %WINDIR%\Temp\test.dat 127.0.0.2:1688 -l Windows -6
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%CommonProgramFiles(x86)%\files\...
