Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'MSShell32' = 'wscript //E:vbscript "%APPDATA%\MSShell32" c4bbf69c54'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'MSShell32' = 'wscript //E:vbscript "%APPDATA%\MSShell32" c4bbf69c54'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\msshell32
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\users\hp\appdata\roaming\msshell32
- %APPDATA%\msshell32
- %TEMP%\fzxsdy8k.0.cs
- %TEMP%\fzxsdy8k.cmdline
- %TEMP%\fzxsdy8k.out
- %TEMP%\csc9fa8.tmp
- %TEMP%\res9fb9.tmp
- %TEMP%\fzxsdy8k.dll
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\rarsfx0\users\hp\appdata\roaming\msshell32
- %APPDATA%\msshell32
Удаляет следующие файлы
- %TEMP%\res9fb9.tmp
- %TEMP%\csc9fa8.tmp
- %TEMP%\fzxsdy8k.out
- %TEMP%\fzxsdy8k.pdb
- %TEMP%\fzxsdy8k.dll
- %TEMP%\fzxsdy8k.0.cs
- %TEMP%\fzxsdy8k.cmdline
- %TEMP%\rarsfx0\users\hp\appdata\roaming\msshell32
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' //E:vbscript "%APPDATA%\MSShell32" c4bbf69c54
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -NoProfile -NonInteractive -Command "$MethodDefinition=[Text.Encoding]::Default.GetString([Convert]::FromBase64String('W0RsbEltcG9ydCgia2VybmVsMzIuZGxsIiwgQ2hhclNldCA9IE...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\fzxsdy8k.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9FB9.tmp" "%TEMP%\CSC9FA8.tmp"' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /f /sc minute /mo 1 /tn MSShell32 /tr "wscript //E:vbscript '%APPDATA%\MSShell32' c4bbf69c54"' (со скрытым окном)
- '<SYSTEM32>\wscript.exe' //E:vbscript "%APPDATA%\MSShell32" c4bbf69c54' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' //E:vbscript "Users\hp\AppData\Roaming\MSShell32" /es "<Полный путь к файлу>" c4bbf69c54
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -NoProfile -NonInteractive -Command "$MethodDefinition=[Text.Encoding]::Default.GetString([Convert]::FromBase64String('W0RsbEltcG9ydCgia2VybmVsMzIuZGxsIiwgQ2hhclNldCA9IE...
- '%WINDIR%\microsoft.net\framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\fzxsdy8k.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9FB9.tmp" "%TEMP%\CSC9FA8.tmp"
- '%WINDIR%\syswow64\schtasks.exe' /create /f /sc minute /mo 1 /tn MSShell32 /tr "wscript //E:vbscript '%APPDATA%\MSShell32' c4bbf69c54"
- '<SYSTEM32>\taskeng.exe' {5072C815-9F69-4B7A-B28F-52B2948C2786} S-1-5-21-1960123792-2022915161-3775307078-1001:ctcnhaqgz\user:Interactive:[1]
