Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\winlogon
- <SYSTEM32>\tasks\services
- <SYSTEM32>\tasks\mdm
- <SYSTEM32>\tasks\explorer
- <SYSTEM32>\tasks\smss
- <SYSTEM32>\tasks\dwm
- <SYSTEM32>\tasks\<Имя файла>
- <SYSTEM32>\tasks\spoolsv
- <SYSTEM32>\tasks\csrss
Изменения в файловой системе
Создает следующие файлы
- %ProgramFiles%\aimpro\winlogon.exe
- %ProgramFiles(x86)%\internet explorer\signup\886983d96e3d3e
- %TEMP%\bsioavpcca
- %TEMP%\3b2oah3dio.bat
- nul
- %TEMP%\zlygv4zteq
- %TEMP%\q0tvgmhuxr.bat
- %TEMP%\hwaimpfvsp
- %TEMP%\u2fefvpmyk
- %TEMP%\fhls6xbcbs
- %TEMP%\jfxogcu6cq.bat
- %TEMP%\ukf4ec514c
- %TEMP%\lhuj4akjis.bat
- %TEMP%\ymt7uwvequ
- %TEMP%\d2zd9hdrps.bat
- %TEMP%\bjyuhvicfk
- %TEMP%\57xcwyooww.bat
- %ProgramFiles(x86)%\internet explorer\signup\csrss.exe
- %TEMP%\cv35gbisf1.bat
- <Текущая директория>\886983d96e3d3e
- C:\totalcmd\language\explorer.exe
- %ProgramFiles%\aimpro\cc11b995f2a76d
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\services.exe
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\c5b4cb5e9653cc
- %WINDIR%\ime\en-us\mdm.exe
- %WINDIR%\ime\en-us\559fba5f8e4410
- %WINDIR%\system\winlogon.exe
- %WINDIR%\system\cc11b995f2a76d
- C:\totalcmd\language\7a0fd90576e088
- C:\far2\fexcept\f52d10ea0d1923
- <Текущая директория>\dwm.exe
- <Текущая директория>\6cb0b6c459d5d3
- %ALLUSERSPROFILE%\application data\smss.exe
- %ALLUSERSPROFILE%\application data\69ddcba757bf72
- <Текущая директория>\spoolsv.exe
- <Текущая директория>\f3b6ecef712a24
- C:\far2\fexcept\<Имя файла>.exe
- <Текущая директория>\csrss.exe
- %TEMP%\opogtqits7.bat
Удаляет следующие файлы
- %TEMP%\bsioavpcca
- %TEMP%\zlygv4zteq
- %TEMP%\hwaimpfvsp
- %TEMP%\u2fefvpmyk
- %TEMP%\ukf4ec514c
- %TEMP%\ymt7uwvequ
- %TEMP%\bjyuhvicfk
- %TEMP%\fhls6xbcbs
Сетевая активность
UDP
- 'localhost':123
Другое
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\internet explorer\signup\csrss.exe'
- '%ProgramFiles(x86)%\internet explorer\signup\csrss.exe' ' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\3B2OAH3dio.bat"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\Q0tVgmHuxR.bat"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\CV35gbisF1.bat"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\jFXOGCU6Cq.bat"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\lHuJ4aKJis.bat"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\D2zd9hDRps.bat"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\57xCWyooww.bat"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\OPOGTQits7.bat"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\r7gOBUt9HL.bat"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc MINUTE /mo 9 /tr "'%ProgramFiles%\aimpro\winlogon.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'C:\Far2\FExcept\<Имя файла>.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONSTART /tr "'C:\Far2\FExcept\<Имя файла>.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc MINUTE /mo 14 /tr "'<Текущая директория>\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'<Текущая директория>\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONSTART /tr "'<Текущая директория>\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc MINUTE /mo 13 /tr "'%ProgramFiles(x86)%\Internet Explorer\SIGNUP\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Internet Explorer\SIGNUP\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "spoolsv" /sc ONSTART /tr "'<Текущая директория>\spoolsv.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc MINUTE /mo 9 /tr "'C:\Far2\FExcept\<Имя файла>.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONSTART /tr "'%ProgramFiles(x86)%\Internet Explorer\SIGNUP\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\Q0tVgmHuxR.bat"
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\CV35gbisF1.bat"
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\jFXOGCU6Cq.bat"
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\lHuJ4aKJis.bat"
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\D2zd9hDRps.bat"
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\57xCWyooww.bat"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\'
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\3B2OAH3dio.bat"
- '<SYSTEM32>\schtasks.exe' /create /tn "spoolsv" /sc ONLOGON /tr "'<Текущая директория>\spoolsv.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "spoolsv" /sc MINUTE /mo 13 /tr "'<Текущая директория>\spoolsv.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "smss" /sc ONSTART /tr "'%ALLUSERSPROFILE%\Application Data\smss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc ONSTART /tr "'%ProgramFiles%\aimpro\winlogon.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "services" /sc MINUTE /mo 12 /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\services.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "services" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\services.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "services" /sc ONSTART /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\services.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "mdm" /sc MINUTE /mo 5 /tr "'%WINDIR%\IME\en-US\mdm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "mdm" /sc ONLOGON /tr "'%WINDIR%\IME\en-US\mdm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "mdm" /sc ONSTART /tr "'%WINDIR%\IME\en-US\mdm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc MINUTE /mo 5 /tr "'%WINDIR%\system\winlogon.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc ONLOGON /tr "'%ProgramFiles%\aimpro\winlogon.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc ONLOGON /tr "'%WINDIR%\system\winlogon.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "explorer" /sc MINUTE /mo 5 /tr "'C:\totalcmd\LANGUAGE\explorer.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "explorer" /sc ONLOGON /tr "'C:\totalcmd\LANGUAGE\explorer.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "explorer" /sc ONSTART /tr "'C:\totalcmd\LANGUAGE\explorer.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc MINUTE /mo 11 /tr "'<Текущая директория>\dwm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'<Текущая директория>\dwm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONSTART /tr "'<Текущая директория>\dwm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "smss" /sc MINUTE /mo 9 /tr "'%ALLUSERSPROFILE%\Application Data\smss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "smss" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Application Data\smss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc ONSTART /tr "'%WINDIR%\system\winlogon.exe'" /rl HIGHEST /f
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\OPOGTQits7.bat"
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\r7gOBUt9HL.bat"
