Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\isthisizwf.url
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tmp30df.tmp.exe
- D:\193a6332c49e2cc91301\1049\eula.rtf
- D:\193a6332c49e2cc91301\1042\eula.rtf
- D:\193a6332c49e2cc91301\1037\eula.rtf
- D:\193a6332c49e2cc91301\2052\eula.rtf
- D:\193a6332c49e2cc91301\1055\eula.rtf
- D:\193a6332c49e2cc91301\1045\eula.rtf
- D:\193a6332c49e2cc91301\1038\eula.rtf
- D:\193a6332c49e2cc91301\1036\eula.rtf
- D:\193a6332c49e2cc91301\1040\eula.rtf
- D:\193a6332c49e2cc91301\2070\eula.rtf
- D:\193a6332c49e2cc91301\1046\eula.rtf
- D:\193a6332c49e2cc91301\3082\eula.rtf
- D:\193a6332c49e2cc91301\1043\eula.rtf
- D:\193a6332c49e2cc91301\1041\eula.rtf
- D:\193a6332c49e2cc91301\1053\eula.rtf
- D:\193a6332c49e2cc91301\1032\eula.rtf
- D:\193a6332c49e2cc91301\1025\eula.rtf
- D:\193a6332c49e2cc91301\1028\eula.rtf
- D:\193a6332c49e2cc91301\1029\eula.rtf
- D:\193a6332c49e2cc91301\1035\eula.rtf
- D:\193a6332c49e2cc91301\1031\eula.rtf
- D:\193a6332c49e2cc91301\1030\eula.rtf
- D:\193a6332c49e2cc91301\1033\eula.rtf
- D:\193a6332c49e2cc91301\dhtmlheader.html
- D:\193a6332c49e2cc91301\setupui.xsd
- D:\193a6332c49e2cc91301\uiinfo.xml
- D:\193a6332c49e2cc91301\strings.xml
- D:\193a6332c49e2cc91301\parameterinfo.xml
- D:\193a6332c49e2cc91301\1044\eula.rtf
- D:\193a6332c49e2cc91301\1040\setupresources.dll
- %TEMP%\microsoft .net framework 4.8 setup_20210309_140444890.html
- D:\193a6332c49e2cc91301\setupengine.dll
- %TEMP%\setup_20210309_140440694.html
- %TEMP%\hfi7b19.tmp.html
- D:\193a6332c49e2cc91301\sqmapi.dll
- D:\193a6332c49e2cc91301\setupui.dll
- D:\193a6332c49e2cc91301\1032\setupresources.dll
- D:\193a6332c49e2cc91301\1043\setupresources.dll
- D:\193a6332c49e2cc91301\1038\setupresources.dll
- D:\193a6332c49e2cc91301\1036\setupresources.dll
- D:\193a6332c49e2cc91301\2070\setupresources.dll
- D:\193a6332c49e2cc91301\1049\setupresources.dll
- D:\193a6332c49e2cc91301\3082\setupresources.dll
- D:\193a6332c49e2cc91301\1045\setupresources.dll
- D:\193a6332c49e2cc91301\1031\setupresources.dll
- D:\193a6332c49e2cc91301\1055\localizeddata.xml
- D:\193a6332c49e2cc91301\1046\setupresources.dll
- D:\193a6332c49e2cc91301\1030\setupresources.dll
- D:\193a6332c49e2cc91301\1055\setupresources.dll
- D:\193a6332c49e2cc91301\1035\setupresources.dll
- D:\193a6332c49e2cc91301\1029\setupresources.dll
- D:\193a6332c49e2cc91301\1053\setupresources.dll
- D:\193a6332c49e2cc91301\1044\setupresources.dll
- D:\193a6332c49e2cc91301\1025\setupresources.dll
- D:\193a6332c49e2cc91301\1033\setupresources.dll
- D:\193a6332c49e2cc91301\1037\setupresources.dll
- D:\193a6332c49e2cc91301\1041\setupresources.dll
- D:\193a6332c49e2cc91301\1042\setupresources.dll
- D:\193a6332c49e2cc91301\2052\setupresources.dll
- D:\193a6332c49e2cc91301\1028\setupresources.dll
- D:\193a6332c49e2cc91301\setup.exe
- D:\193a6332c49e2cc91301\setuputility.exe
- D:\193a6332c49e2cc91301\1053\localizeddata.xml
- D:\193a6332c49e2cc91301\graphics\rotate6.ico
- D:\193a6332c49e2cc91301\graphics\rotate3.ico
- D:\193a6332c49e2cc91301\graphics\rotate2.ico
- D:\193a6332c49e2cc91301\graphics\rotate10.ico
- D:\193a6332c49e2cc91301\graphics\rotate1.ico
- D:\193a6332c49e2cc91301\graphics\print.ico
- D:\193a6332c49e2cc91301\displayicon.ico
- D:\193a6332c49e2cc91301\watermark.bmp
- D:\193a6332c49e2cc91301\splashscreen.bmp
- D:\193a6332c49e2cc91301\header.bmp
- %TEMP%\dd_tmp37f3.tmp_decompression_log.txt
- %APPDATA%\xzqpeynkha\tcaazdeqho.js
- %APPDATA%\xzqpeynkha\irrequieto.vsdm
- %APPDATA%\xzqpeynkha\isthisizwf.com
- D:\193a6332c49e2cc91301\graphics\rotate4.ico
- %APPDATA%\xzqpeynkha\xqsnfsvk
- %TEMP%\nknmvvxbwnv\sembri.com
- %TEMP%\tlkzuxpsfz\sta.com
- %TEMP%\nknmvvxbwnv\stupore.pps
- %TEMP%\nknmvvxbwnv\sicure.pptm
- %TEMP%\nknmvvxbwnv\ricordarmi.pot
- %TEMP%\nknmvvxbwnv\irrequieto.vsdm
- %TEMP%\nknmvvxbwnv\infine.avi
- %TEMP%\tlkzuxpsfz\poteva.gif
- %TEMP%\tlkzuxpsfz\gocce.bmp
- %TEMP%\tlkzuxpsfz\aprile.m4a
- %TEMP%\tlkzuxpsfz\ami.bmp
- %TEMP%\tlkzuxpsfz\abbozzo.pst
- %TEMP%\tmp312e.tmp.exe
- %TEMP%\tmp37f3.tmp.exe
- D:\193a6332c49e2cc91301\1031\localizeddata.xml
- D:\193a6332c49e2cc91301\2070\localizeddata.xml
- D:\193a6332c49e2cc91301\graphics\rotate7.ico
- D:\193a6332c49e2cc91301\1046\localizeddata.xml
- D:\193a6332c49e2cc91301\1045\localizeddata.xml
- D:\193a6332c49e2cc91301\1044\localizeddata.xml
- D:\193a6332c49e2cc91301\1043\localizeddata.xml
- D:\193a6332c49e2cc91301\1042\localizeddata.xml
- D:\193a6332c49e2cc91301\1041\localizeddata.xml
- D:\193a6332c49e2cc91301\1040\localizeddata.xml
- D:\193a6332c49e2cc91301\1038\localizeddata.xml
- D:\193a6332c49e2cc91301\1037\localizeddata.xml
- D:\193a6332c49e2cc91301\1036\localizeddata.xml
- D:\193a6332c49e2cc91301\1035\localizeddata.xml
- D:\193a6332c49e2cc91301\3082\localizeddata.xml
- D:\193a6332c49e2cc91301\1033\localizeddata.xml
- D:\193a6332c49e2cc91301\1049\localizeddata.xml
- D:\193a6332c49e2cc91301\1032\localizeddata.xml
- D:\193a6332c49e2cc91301\1030\localizeddata.xml
- D:\193a6332c49e2cc91301\1029\localizeddata.xml
- D:\193a6332c49e2cc91301\1028\localizeddata.xml
- D:\193a6332c49e2cc91301\2052\localizeddata.xml
- D:\193a6332c49e2cc91301\1025\localizeddata.xml
- D:\193a6332c49e2cc91301\graphics\warn.ico
- D:\193a6332c49e2cc91301\graphics\sysreqnotmet.ico
- D:\193a6332c49e2cc91301\graphics\sysreqmet.ico
- D:\193a6332c49e2cc91301\graphics\stop.ico
- D:\193a6332c49e2cc91301\graphics\setup.ico
- D:\193a6332c49e2cc91301\graphics\save.ico
- D:\193a6332c49e2cc91301\graphics\rotate9.ico
- D:\193a6332c49e2cc91301\graphics\rotate8.ico
- D:\193a6332c49e2cc91301\graphics\rotate5.ico
- %TEMP%\hfi8fe5.tmp.html
Удаляет следующие файлы
- %TEMP%\tlkzuxpsfz\gocce.bmp
- %TEMP%\nknmvvxbwnv\stupore.pps
- %TEMP%\nknmvvxbwnv\irrequieto.vsdm
Перемещает следующие файлы
- %TEMP%\hfi7b19.tmp.html в %TEMP%\setup_20210309_140440694.html
- %TEMP%\setup_20210309_140440694.html в %TEMP%\microsoft .net framework 4.8 setup_20210309_140444890.html
Сетевая активность
Подключается к
- 'en####hwithmatt.es':80
- 'download.visualstudio.microsoft.com':443
TCP
- 'download.visualstudio.microsoft.com':443
UDP
- DNS ASK en####hwithmatt.es
- DNS ASK download.visualstudio.microsoft.com
- DNS ASK TT#######wgLRk.TTTACszEJwgLRk
- DNS ASK OJ#########tKBAIpG.OJuMXopkquotKBAIpG
Другое
Создает и запускает на исполнение
- '%TEMP%\tmp30df.tmp.exe'
- '%TEMP%\tmp312e.tmp.exe'
- '%TEMP%\tlkzuxpsfz\sta.com' Poteva.gif
- '%TEMP%\nknmvvxbwnv\sembri.com' Stupore.pps
- '%TEMP%\tmp37f3.tmp.exe'
- 'D:\193a6332c49e2cc91301\setup.exe' /x86 /x64 /web
- '%WINDIR%\syswow64\cmd.exe' /c echo xzFc' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo CNydiN' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c cmd < Ricordarmi.pot' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c cmd < Abbozzo.pst' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c echo xzFc
- '%WINDIR%\syswow64\cmd.exe' /c echo CNydiN
- '%WINDIR%\syswow64\cmd.exe' /c cmd < Ricordarmi.pot
- '%WINDIR%\syswow64\cmd.exe' /c cmd < Abbozzo.pst
- '%WINDIR%\syswow64\cmd.exe'
- '%WINDIR%\syswow64\findstr.exe' /V /R "^yRnnaLdEVqceFjFyZUdDiXYnmOJeFFoveQgZNzLmROmuMkqRmkuLoyXiTqZEegYfSZZOYGaGoQMznRLgNRCxmv$" Aprile.m4a
- '%WINDIR%\syswow64\findstr.exe' /V /R "^NpdLAPXidkczjRHasmCyuIYdLcCxAmtgocBTxuhmTYpQwlWllNWZdpOtlZZthCGRuulRdOYkjrjinigBmapNDyYZGvIxuokdaaJUZyTvPLMjXHFrLbFVzTgwoklTuDttRWPunxCznNYRaLe$" Infine.avi
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 30
