Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'STARTUP' = 'C:\GatonFiles\Scirpts\Actualizador.vbs'
Изменения в файловой системе
Создает следующие файлы
- C:\gatonfiles\scirpts\start.data
- C:\temp\files\despiertador.bat
- C:\temp\files\despiertador.vbs
- C:\temp\files\files.vbs
- C:\temp\files\messagesender.vbs
- C:\temp\files\regedit.vbs
- C:\gatonfiles\scirpts\mortu.vbs
- C:\temp\files\cmc.bat
- C:\temp\files\userdata.bat
- C:\temp\files\despiertadorrapido.bat
- C:\temp\files\despiertadespiertador.vbs
- C:\temp\files\despiertadespiertador.bat
- C:\temp\files\actualizador.vbs
- C:\temp\files\link.exe
- C:\temp\files\wifi.bat
- C:\temp\files\despiertadorrapido.vbs
- C:\gatonfiles\scirpts\mortu.bat
- C:\gatonfiles\scirpts\morto.bat
- C:\gatonfiles\scirpts\actualizador.vbs
- C:\gatonfiles\scirpts\uploader.bat
- C:\gatonfiles\scirpts\messagesender.vbs
- C:\gatonfiles\scirpts\userdata.bat
- C:\gatonfiles\scirpts\despiertadorrapido.bat
- C:\gatonfiles\scirpts\files.vbs
- C:\gatonfiles\scirpts\link.exe
- C:\gatonfiles\scirpts\regedit.vbs
- C:\gatonfiles\scirpts\wifi.bat
- C:\gatonfiles\scirpts\cmc.bat
- C:\gatonfiles\scirpts\despiertador.vbs
- C:\gatonfiles\scirpts\despiertadorrapido.vbs
- C:\gatonfiles\scirpts\despiertadespiertador.bat
- C:\gatonfiles\scirpts\despiertadespiertador.vbs
- C:\gatonfiles\scirpts\uploader.vbs
- C:\gatonfiles\scirpts\despiertador.bat
- C:\temp\files\uploader.bat
- C:\temp\files\uploader.vbs
Присваивает атрибут 'скрытый' для следующих файлов
- C:\gatonfiles\scirpts\regedit.vbs
- C:\gatonfiles\scirpts\morto.bat
- C:\gatonfiles\scirpts\actualizador.vbs
- C:\gatonfiles\scirpts\uploader.vbs
- C:\gatonfiles\scirpts\despiertadespiertador.vbs
- C:\gatonfiles\scirpts\despiertadespiertador.bat
- C:\gatonfiles\scirpts\despiertadorrapido.vbs
- C:\gatonfiles\scirpts\despiertador.vbs
- C:\gatonfiles\scirpts\mortu.bat
- C:\gatonfiles\scirpts\cmc.bat
- C:\gatonfiles\scirpts\wifi.bat
- C:\gatonfiles\scirpts\link.exe
- C:\gatonfiles\scirpts\files.vbs
- C:\gatonfiles\scirpts\despiertadorrapido.bat
- C:\gatonfiles\scirpts\userdata.bat
- C:\gatonfiles\scirpts\messagesender.vbs
- C:\gatonfiles\scirpts\uploader.bat
- C:\gatonfiles\scirpts\despiertador.bat
- C:\gatonfiles\scirpts\mortu.vbs
Удаляет следующие файлы
- C:\gatonfiles\scirpts\mortu.vbs
- C:\gatonfiles\scirpts\morto.bat
- C:\gatonfiles\scirpts\mortu.bat
Сетевая активность
TCP
- 'cd#.##scordapp.com':443
UDP
- DNS ASK cd#.##scordapp.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "C:\GatonFiles\Scirpts\DespiertadorRapido.vbs"
- '<SYSTEM32>\wscript.exe' "C:\GatonFiles\Scirpts\Mortu.vbs"
- '<SYSTEM32>\wscript.exe' "C:\GatonFiles\Scirpts\Files.vbs" param1
- '<SYSTEM32>\wscript.exe' "C:\GatonFiles\Scirpts\DespiertaDespiertador.vbs"
- '<SYSTEM32>\wscript.exe' "C:\GatonFiles\Scirpts\Despiertador.vbs" param1
- '<SYSTEM32>\wscript.exe' "C:\GatonFiles\Scirpts\Regedit.vbs" param1
- '<SYSTEM32>\wscript.exe' "C:\GatonFiles\Scirpts\Messagesender.vbs" param1
- '<SYSTEM32>\cmd.exe' /c ""C:\GatonFiles\Scirpts\Uploader.bat" "' (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v nes /f"' (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v reco /f"' (со скрытым окном)
- '<SYSTEM32>\ping.exe' -n 1 -w 300 1.1.1.1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""C:\GatonFiles\Scirpts\DespiertaDespiertador.bat" "' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""C:\GatonFiles\Scirpts\Despiertador.bat" "' (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v fea /f"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""C:\GatonFiles\Scirpts\DespiertadorRapido.bat" "' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""C:\GatonFiles\Scirpts\UserData.bat" "' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""C:\GatonFiles\Scirpts\cmc.bat" "' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""C:\GatonFiles\Scirpts\DespiertadorRapido.bat" "
- '<SYSTEM32>\timeout.exe' 2 /nobreak
- '<SYSTEM32>\wbem\wmic.exe' process where name="wscript.exe" call setpriority 16384
- '<SYSTEM32>\timeout.exe' /t 10 /NOBREAK
- '<SYSTEM32>\cmd.exe' /c wmic OS get FreePhysicalMemory
- '<SYSTEM32>\wbem\wmic.exe' OS get FreePhysicalMemory
- '<SYSTEM32>\netsh.exe' wlan show profiles
- '<SYSTEM32>\findstr.exe' /R /C:"[ ]:[ ]"
- '<SYSTEM32>\cmd.exe' /c wmic cpu get name
- '<SYSTEM32>\wbem\wmic.exe' cpu get name
- '<SYSTEM32>\cmd.exe' /c wmic cpu get CurrentClockSpeed
- '<SYSTEM32>\wbem\wmic.exe' cpu get CurrentClockSpeed
- '<SYSTEM32>\wbem\wmic.exe' cpu get NumberOfCores
- '<SYSTEM32>\wbem\wmic.exe' Path Win32_Battery Get BatteryStatus
- '<SYSTEM32>\timeout.exe' /t 3 /Nobreak
- '<SYSTEM32>\cmd.exe' /c wmic path win32_VideoController get name
- '<SYSTEM32>\cmd.exe' /c wmic systemenclosure get chassistypes
- '<SYSTEM32>\wbem\wmic.exe' path win32_VideoController get name
- '<SYSTEM32>\wbem\wmic.exe' systemenclosure get chassistypes
- '<SYSTEM32>\cmd.exe' /c curl "https://myexternalip.com/raw"
- '<SYSTEM32>\cmd.exe' /c wmic cpu get loadpercentage
- '<SYSTEM32>\wbem\wmic.exe' cpu get loadpercentage
- '<SYSTEM32>\cmd.exe' /c wmic path Win32_Battery get EstimatedChargeRemaining
- '<SYSTEM32>\wbem\wmic.exe' path Win32_Battery get EstimatedChargeRemaining
- '<SYSTEM32>\cmd.exe' /c WMIC Path Win32_Battery Get BatteryStatus
- '<SYSTEM32>\wbem\wmic.exe' process where 'CommandLine like "%C:\\GatonFiles\\Scirpts\\Regedit.vbs%" and not CommandLine like "%RuntimeBroker%"' get CommandLine , ProcessId /format:value
- '<SYSTEM32>\cmd.exe' /c wmic cpu get NumberOfCores
- '<SYSTEM32>\cmd.exe' /c curl "http://wt#r.in/?fo#######"
- '<SYSTEM32>\wbem\wmic.exe' process where 'CommandLine like "%C:\\GatonFiles\\Scirpts\\Messagesender.vbs%" and not CommandLine like "%RuntimeBroker%"' get CommandLine,ProcessId /format:value
- '<SYSTEM32>\cmd.exe' /c wmic process where "name='wscript.exe'" get ParentProcessID
- '<SYSTEM32>\wbem\wmic.exe' process where "name='wscript.exe'" get ParentProcessID
- '<SYSTEM32>\timeout.exe' 1 /nobreak
- '<SYSTEM32>\timeout.exe' 3 /nobreak
- '<SYSTEM32>\cmd.exe' /c ""C:\GatonFiles\Scirpts\DespiertaDespiertador.bat" "
- '<SYSTEM32>\cmd.exe' /c wmic process where 'CommandLine like "%C:\\GatonFiles\\Scirpts\\Despiertador.bat%" and not CommandLine like "%RuntimeBroker%"' get CommandLine , ProcessId /format:value
- '<SYSTEM32>\wbem\wmic.exe' process where 'CommandLine like "%C:\\GatonFiles\\Scirpts\\Despiertador.bat%" and not CommandLine like "%RuntimeBroker%"' get CommandLine , ProcessId /format:value
- '<SYSTEM32>\cmd.exe' /c ""C:\GatonFiles\Scirpts\Despiertador.bat" "
- '<SYSTEM32>\cmd.exe' /c wmic process where 'CommandLine like "%C:\\GatonFiles\\Scirpts\\Regedit.vbs%" and not CommandLine like "%RuntimeBroker%"' get CommandLine,ProcessId /format:value
- '<SYSTEM32>\wbem\wmic.exe' process where 'CommandLine like "%C:\\GatonFiles\\Scirpts\\Regedit.vbs%" and not CommandLine like "%RuntimeBroker%"' get CommandLine,ProcessId /format:value
- '<SYSTEM32>\cmd.exe' /c wmic process where 'CommandLine like "%C:\\GatonFiles\\Scirpts\\Messagesender.vbs%" and not CommandLine like "%RuntimeBroker%"' get CommandLine,ProcessId /format:value
- '<SYSTEM32>\reg.exe' delete HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v fea /f"
- '<SYSTEM32>\cmd.exe' /c ""C:\GatonFiles\Scirpts\cmc.bat" "
- '<SYSTEM32>\reg.exe' delete HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v nes /f"
- '<SYSTEM32>\reg.exe' delete HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v reco /f"
- '<SYSTEM32>\cmd.exe' /c wmic process where 'CommandLine like "%C:\\GatonFiles\\Scirpts\\Files.vbs%" and not CommandLine like "%RuntimeBroker%"' get CommandLine,ProcessId /format:value
- '<SYSTEM32>\wbem\wmic.exe' process where 'CommandLine like "%C:\\GatonFiles\\Scirpts\\Files.vbs%" and not CommandLine like "%RuntimeBroker%"' get CommandLine,ProcessId /format:value
- '<SYSTEM32>\ping.exe' -n 1 -w 300 1.1.1.1
- '<SYSTEM32>\timeout.exe' 5
- '<SYSTEM32>\cmd.exe' /c ""C:\GatonFiles\Scirpts\Uploader.bat" "
- '<SYSTEM32>\timeout.exe' /t 5 /NOBREAK
- '<SYSTEM32>\cmd.exe' /c ""C:\GatonFiles\Scirpts\UserData.bat" "
- '<SYSTEM32>\timeout.exe' 1
- '<SYSTEM32>\cmd.exe' /c curl "https://checkip.amazonaws.com/"
- '<SYSTEM32>\cmd.exe' /c wmic process where 'CommandLine like "%C:\\GatonFiles\\Scirpts\\Regedit.vbs%" and not CommandLine like "%RuntimeBroker%"' get CommandLine , ProcessId /format:value
- '<SYSTEM32>\timeout.exe' /t 40 /NOBREAK
