Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\<Имя файла>.exe
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im explorer.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\2f0b.tmp\2f1c.tmp\2f1d.bat
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\2F0B.tmp\2F1C.tmp\2F1D.bat <Полный путь к файлу>"
- '<SYSTEM32>\xcopy.exe' <Имя файла>.exe "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup"
- '<SYSTEM32>\mode.com' 45,12
- '<SYSTEM32>\cmd.exe' /c powershell -command "(Invoke-Webrequest "http://ap#.#pify.org").content"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "(Invoke-Webrequest "http://ap#.#pify.org").content"
