Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\updates\pbyshv
- <SYSTEM32>\tasks\image
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\pbyshv.exe
- %TEMP%\tmpfb10.tmp
- %APPDATA%\image.exe
- %TEMP%\tmp2368.tmp.bat
- nul
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\pbyshv.exe
Удаляет следующие файлы
- %TEMP%\tmpfb10.tmp
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\PbYsHv.exe"
- '%APPDATA%\image.exe'
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\PbYsHv.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\PbYsHv" /XML "%TEMP%\tmpFB10.tmp"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "image" /tr '"%APPDATA%\image.exe"' & exit' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\PbYsHv" /XML "%TEMP%\tmpF057.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\PbYsHv" /XML "%TEMP%\tmpFB10.tmp"
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "image" /tr '"%APPDATA%\image.exe"' & exit
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\tmp2368.tmp.bat""
- '%WINDIR%\syswow64\schtasks.exe' /create /f /sc onlogon /rl highest /tn "image" /tr '"%APPDATA%\image.exe"'
- '%WINDIR%\syswow64\timeout.exe' 3
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Updates\PbYsHv" /XML "%TEMP%\tmpF057.tmp"
