Техническая информация
- [<HKLM>\System\CurrentControlSet\Services\shouliezhe] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\shouliezhe] 'ImagePath' = '<SYSTEM32>\shouliezhe.exe'
- 'shouliezhe' <SYSTEM32>\shouliezhe.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im rfwproxy.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im rfwstub.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im rfwmain.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im rfwsrv.exe
- %WINDIR%\syswow64\shouliezhe.exe
- %WINDIR%\syswow64\shouliezhe.exe
- 'cy####0.3322.org':8014
- DNS ASK cy####0.3322.org
- ClassName: '' WindowName: ''
- '%WINDIR%\syswow64\shouliezhe.exe'
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im rfwmain.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im rfwstub.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im rfwproxy.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im rfwsrv.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del <Полный путь к файлу> > nul' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im rfwmain.exe
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im rfwstub.exe
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im rfwproxy.exe
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im rfwsrv.exe
- '%WINDIR%\syswow64\cmd.exe' /c del <Полный путь к файлу> > nul