Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\o-7-6-44-1071323497-1159372439-1389401436-2831\{9eq4f5l1-y4x-2too-o9ml-8w8uhmtz6nm}
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\r01ddj0q\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\1vnpdu1h\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\emswb6xv\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\o534ws8r\desktop.ini
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\r01ddj0q\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\1vnpdu1h\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\emswb6xv\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\o534ws8r\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
Самоперемещается
- из <Полный путь к файлу> в %APPDATA%\amd64_netfx-aspnet_config_b03f5f7f11d50a3a_10.0.19041.1_none_4a22873cf8deb209\wlanmm.exe
Сетевая активность
Подключается к
- 'yi#.su':443
- 'r3.#.lencr.org':80
- 'microsoft.com':80
TCP
Другие
- 'yi#.su':443
UDP
- DNS ASK yi#.su
- DNS ASK r3.#.lencr.org
- DNS ASK microsoft.com
- DNS ASK st####.rapidssl.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c icacls "%APPDATA%\amd64_netfx-aspnet_config_b03f5f7f11d50a3a_10.0.19041.1_none_4a22873cf8deb209" /inheritance:e /deny "*S-1-1-0:(R,REA,RA,RD)" & icacls "%APPDATA%\amd64_netfx-aspnet_config_b...' (со скрытым окном)
- '%APPDATA%\amd64_netfx-aspnet_config_b03f5f7f11d50a3a_10.0.19041.1_none_4a22873cf8deb209\wlanmm.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c icacls "%APPDATA%\amd64_netfx-aspnet_config_b03f5f7f11d50a3a_10.0.19041.1_none_4a22873cf8deb209" /inheritance:e /deny "*S-1-1-0:(R,REA,RA,RD)" & icacls "%APPDATA%\amd64_netfx-aspnet_config_b...
- '%WINDIR%\syswow64\icacls.exe' "%APPDATA%\amd64_netfx-aspnet_config_b03f5f7f11d50a3a_10.0.19041.1_none_4a22873cf8deb209" /inheritance:e /deny "*S-1-1-0:(R,REA,RA,RD)"
- '%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
- '%WINDIR%\syswow64\icacls.exe' "%APPDATA%\amd64_netfx-aspnet_config_b03f5f7f11d50a3a_10.0.19041.1_none_4a22873cf8deb209" /inheritance:e /deny "*S-1-5-7:(R,REA,RA,RD)"
- '%WINDIR%\syswow64\icacls.exe' "%APPDATA%\amd64_netfx-aspnet_config_b03f5f7f11d50a3a_10.0.19041.1_none_4a22873cf8deb209" /inheritance:e /deny "user:(R,REA,RA,RD)"
- '<SYSTEM32>\taskeng.exe' {49C61627-2775-4F55-AC27-464FB322C6C3} S-1-5-21-1960123792-2022915161-3775307078-1001:wugszj\user:Interactive:[1]
