Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\q-2-9-17-1360050501-1319158065-1157378850-5536\{kixpq7wz-5tdv-22v4-cdor-sv8qhi8a3wm}
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\a4bxsyke\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\yjsaro9q\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\isihob5k\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\ltw5v6qu\desktop.ini
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\a4bxsyke\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\yjsaro9q\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\isihob5k\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\ltw5v6qu\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
Самоперемещается
- из <Полный путь к файлу> в %APPDATA%\wow64_microsoft-windows-p..leshooter.resources_31bf3856ad364e35_10.0.19041.1_ru-ru_8e5883a3e4eec2fa\audioeng.exe
Сетевая активность
Подключается к
- 'ez##at.ru':443
- 'r3.#.lencr.org':80
- 'microsoft.com':80
- 'oc##.#tartssl.com':80
TCP
- 'ez##at.ru':443
UDP
- DNS ASK ez##at.ru
- DNS ASK r3.#.lencr.org
- DNS ASK microsoft.com
- DNS ASK oc##.#tartssl.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c icacls "%APPDATA%\wow64_microsoft-windows-p..leshooter.resources_31bf3856ad364e35_10.0.19041.1_ru-ru_8e5883a3e4eec2fa" /inheritance:e /deny "*S-1-1-0:(R,REA,RA,RD)" & icacls "%APPDATA%\wow64...' (со скрытым окном)
- '%APPDATA%\wow64_microsoft-windows-p..leshooter.resources_31bf3856ad364e35_10.0.19041.1_ru-ru_8e5883a3e4eec2fa\audioeng.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c icacls "%APPDATA%\wow64_microsoft-windows-p..leshooter.resources_31bf3856ad364e35_10.0.19041.1_ru-ru_8e5883a3e4eec2fa" /inheritance:e /deny "*S-1-1-0:(R,REA,RA,RD)" & icacls "%APPDATA%\wow64...
- '%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
- '%WINDIR%\syswow64\icacls.exe' "%APPDATA%\wow64_microsoft-windows-p..leshooter.resources_31bf3856ad364e35_10.0.19041.1_ru-ru_8e5883a3e4eec2fa" /inheritance:e /deny "*S-1-1-0:(R,REA,RA,RD)"
- '%WINDIR%\syswow64\icacls.exe' "%APPDATA%\wow64_microsoft-windows-p..leshooter.resources_31bf3856ad364e35_10.0.19041.1_ru-ru_8e5883a3e4eec2fa" /inheritance:e /deny "*S-1-5-7:(R,REA,RA,RD)"
- '%WINDIR%\syswow64\icacls.exe' "%APPDATA%\wow64_microsoft-windows-p..leshooter.resources_31bf3856ad364e35_10.0.19041.1_ru-ru_8e5883a3e4eec2fa" /inheritance:e /deny "user:(R,REA,RA,RD)"
- '<SYSTEM32>\taskeng.exe' {595E81D5-6BED-42B4-856B-4C1DF440470A} S-1-5-21-1960123792-2022915161-3775307078-1001:dspqovtks\user:Interactive:[1]
