Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' -f /Im "<Имя файла>.exe"
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\5ac44v.exe
- %TEMP%\xkarc8dp.r
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\5ac44v.exe' /PXpFvvA_IFpwn
- '%WINDIR%\syswow64\cmd.exe' /Q /c copY /y "<Полный путь к файлу>" 5ac44v.exe > nUL && sTARt 5ac44v.exe /PXpFvvA_IFpwn &iF "" == "" for %R In ( "<Полный путь к файлу>" ...' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /Q /c copY /y "%TEMP%\5ac44v.exe" 5ac44v.exe > nUL && sTARt 5ac44v.exe /PXpFvvA_IFpwn &iF "/PXpFvvA_IFpwn " == "" for %R In ( "%TEMP%\5ac44v.e...' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\mshta.exe' vbscRipt: cloSE ( CrEateoBjeCt ( "wsCripT.sHeLL" ). rUN ( "CMD.eXe /Q /c copY /y ""<Полный путь к файлу>"" 5ac44v.exe > nUL && sTARt ...
- '%WINDIR%\syswow64\cmd.exe' /Q /c copY /y "<Полный путь к файлу>" 5ac44v.exe > nUL && sTARt 5ac44v.exe /PXpFvvA_IFpwn &iF "" == "" for %R In ( "<Полный путь к файлу>" ...
- '%WINDIR%\syswow64\mshta.exe' vbscRipt: cloSE ( CrEateoBjeCt ( "wsCripT.sHeLL" ). rUN ( "CMD.eXe /Q /c copY /y ""%TEMP%\5ac44v.exe"" 5ac44v.exe > nUL && sTARt 5...
- '%WINDIR%\syswow64\cmd.exe' /Q /c copY /y "%TEMP%\5ac44v.exe" 5ac44v.exe > nUL && sTARt 5ac44v.exe /PXpFvvA_IFpwn &iF "/PXpFvvA_IFpwn " == "" for %R In ( "%TEMP%\5ac44v.e...
- '%WINDIR%\syswow64\regsvr32.exe' -s XKARC8DP.R -u
