Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'windows0x64' = '%APPDATA%\Microsoft\windows0x64\svchost.vbs'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\models\avr.dll
- %TEMP%\3736.tmp\svchost.vbs
- %TEMP%\3736.tmp\update.vbs
- %TEMP%\3736.tmp\win.bat
- %TEMP%\3736.tmp\windows0x64.bat
- %APPDATA%\microsoft\windows0x64\check.bat
- %APPDATA%\microsoft\windows0x64\checkkk.ps1
- %APPDATA%\microsoft\windows0x64\click.ps1
- %TEMP%\rarsfx0\models\pic18.dll
- %APPDATA%\microsoft\windows0x64\copy.vbs
- %APPDATA%\microsoft\windows0x64\install.vbs
- %APPDATA%\microsoft\windows0x64\run.bat
- %APPDATA%\microsoft\windows0x64\setup.bat
- %APPDATA%\microsoft\windows0x64\start.vbs
- %APPDATA%\microsoft\windows0x64\svchost.vbs
- %APPDATA%\microsoft\windows0x64\update.vbs
- %APPDATA%\microsoft\windows0x64\win.bat
- %TEMP%\3736.tmp\setup.bat
- %TEMP%\3736.tmp\start.vbs
- %TEMP%\3736.tmp\run.bat
- %TEMP%\3736.tmp\install.vbs
- %TEMP%\3736.tmp\install.bat
- %TEMP%\rarsfx0\models\i8086.dll
- %TEMP%\rarsfx0\models\keypad.dll
- %TEMP%\rarsfx0\models\lcdalpha.dll
- %TEMP%\rarsfx0\models\lcdpixel.dll
- %TEMP%\rarsfx0\models\ledmpx.dll
- %TEMP%\rarsfx0\models\mcs8051.dll
- %TEMP%\rarsfx0\models\pic16.dll
- %APPDATA%\microsoft\windows0x64\windows0x64.bat
- %APPDATA%\microsoft\windows0x64\install.bat
- %TEMP%\rarsfx0\models\pic16ex.dll
- %TEMP%\rarsfx0\models\vterm.dll
- %TEMP%\rarsfx0\garfield_couple.exe
- %TEMP%\3736.tmp\3746.tmp\3747.bat
- %TEMP%\3736.tmp\check.bat
- %TEMP%\3736.tmp\checkkk.ps1
- %TEMP%\3736.tmp\click.ps1
- %TEMP%\3736.tmp\copy.vbs
- %TEMP%\rarsfx0\models\avr2.dll
- %TEMP%\rarsfx0\models\readout.dll
- %APPDATA%\microsoft\windows0x64\18995.bat
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\microsoft\windows0x64\install.vbs
- %APPDATA%\microsoft\windows0x64\svchost.vbs
- %APPDATA%\microsoft\windows0x64\setup.bat
- %APPDATA%\microsoft\windows0x64\start.vbs
- %APPDATA%\microsoft\windows0x64\check.bat
- %APPDATA%\microsoft\windows0x64\update.vbs
- %APPDATA%\microsoft\windows0x64\run.bat
- %APPDATA%\microsoft\windows0x64\windows0x64.bat
- %APPDATA%\microsoft\windows0x64\install.bat
- %APPDATA%\microsoft\windows0x64\checkkk.ps1
- %APPDATA%\microsoft\windows0x64\copy.vbs
- %APPDATA%\microsoft\windows0x64\click.ps1
- %APPDATA%\microsoft\windows0x64\win.bat
Удаляет следующие файлы
- %TEMP%\3736.tmp\3746.tmp\3747.bat
- %TEMP%\3736.tmp\win.bat
- %TEMP%\3736.tmp\update.vbs
- %TEMP%\3736.tmp\svchost.vbs
- %TEMP%\3736.tmp\start.vbs
- %TEMP%\3736.tmp\run.bat
- %TEMP%\3736.tmp\install.vbs
- %TEMP%\3736.tmp\install.bat
- %TEMP%\3736.tmp\copy.vbs
- %TEMP%\3736.tmp\click.ps1
- %TEMP%\3736.tmp\checkkk.ps1
- %TEMP%\3736.tmp\check.bat
- %TEMP%\rarsfx0\models\vterm.dll
- %TEMP%\rarsfx0\models\readout.dll
- %TEMP%\rarsfx0\models\pic18.dll
- %TEMP%\rarsfx0\models\pic16ex.dll
- %TEMP%\rarsfx0\models\pic16.dll
- %TEMP%\rarsfx0\models\mcs8051.dll
- %TEMP%\rarsfx0\models\ledmpx.dll
- %TEMP%\rarsfx0\models\lcdpixel.dll
- %TEMP%\rarsfx0\models\lcdalpha.dll
- %TEMP%\rarsfx0\models\keypad.dll
- %TEMP%\rarsfx0\models\i8086.dll
- %TEMP%\rarsfx0\models\avr2.dll
- %TEMP%\rarsfx0\models\avr.dll
- %TEMP%\rarsfx0\garfield_couple.exe
- %TEMP%\3736.tmp\windows0x64.bat
- %APPDATA%\microsoft\windows0x64\18995.bat
Сетевая активность
TCP
- 'gi##ub.com':443
UDP
- DNS ASK gi##ub.com
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\rarsfx0\garfield_couple.exe'
- '<SYSTEM32>\wscript.exe' "%APPDATA%\Microsoft\windows0x64\copy.vbs"
- '<SYSTEM32>\wscript.exe' "%APPDATA%\Microsoft\windows0x64\svchost.vbs"
- '<SYSTEM32>\wscript.exe' "%APPDATA%\Microsoft\windows0x64\start.vbs"
- '<SYSTEM32>\wscript.exe' "%TEMP%\3736.tmp\install.vbs"
- '<SYSTEM32>\cscript.exe' //nologo //E:JScript.Encode "%APPDATA%\Microsoft\windows0x64\windows0x64.bat"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\3736.tmp\install.bat" "' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\3736.tmp\3746.tmp\3747.bat %TEMP%\RarSFX0\garfield_couple.exe"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Microsoft\windows0x64\windows0x64.bat" "' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Microsoft\windows0x64\check.bat" "' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\3736.tmp\windows0x64.bat" "' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\3736.tmp\win.bat" "' (со скрытым окном)
- '<SYSTEM32>\wscript.exe' "%APPDATA%\Microsoft\windows0x64\start.vbs"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\3736.tmp\check.bat" "' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Microsoft\windows0x64\win.bat" "' (со скрытым окном)
- '<SYSTEM32>\wscript.exe' "%APPDATA%\Microsoft\windows0x64\copy.vbs"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\3736.tmp\setup.bat" "' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\3736.tmp\3746.tmp\3747.bat %TEMP%\RarSFX0\garfield_couple.exe"
- '<SYSTEM32>\attrib.exe' +s +h click.ps1
- '<SYSTEM32>\attrib.exe' +s +h copy.vbs
- '<SYSTEM32>\attrib.exe' +s +h checkkk.ps1
- '<SYSTEM32>\attrib.exe' +s +h copy.exe
- '<SYSTEM32>\attrib.exe' +s +h install.bat
- '<SYSTEM32>\attrib.exe' +s +h windows0x64.bat
- '<SYSTEM32>\attrib.exe' +s +h run.bat
- '<SYSTEM32>\attrib.exe' +s +h final.exe
- '<SYSTEM32>\attrib.exe' +s +h update.vbs
- '<SYSTEM32>\attrib.exe' +s +h check.bat
- '<SYSTEM32>\attrib.exe' +s +h start.vbs
- '<SYSTEM32>\attrib.exe' +s +h setup.bat
- '<SYSTEM32>\attrib.exe' +s +h svchost.vbs
- '<SYSTEM32>\attrib.exe' +s +h install.vbs
- '<SYSTEM32>\attrib.exe' +s +h verus-solver.exe
- '<SYSTEM32>\attrib.exe' +s +h windows0x64.exe
- '<SYSTEM32>\find.exe' /I /N "Taskmgr.exe"
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq Taskmgr.exe"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -executionpolicy bypass -File checkkk.ps1
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Microsoft\windows0x64\check.bat" "
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Microsoft\windows0x64\windows0x64.bat" "
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\Microsoft\windows0x64\win.bat" "
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\3736.tmp\check.bat" "
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\3736.tmp\windows0x64.bat" "
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\3736.tmp\win.bat" "
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath $ENV:temp
- '<SYSTEM32>\reg.exe' ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "windows0x64" /t REG_SZ /d ""%APPDATA%"\Microsoft\windows0x64\svchost.vbs" /f
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\3736.tmp\install.bat" "
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\3736.tmp\setup.bat" "
- '<SYSTEM32>\attrib.exe' +s +h win.bat
- '<SYSTEM32>\attrib.exe' +s +h windows0x64
