Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsInstaller' = '"<Полный путь к файлу>" -startup'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MSEdgeUpdateX' = '"<Полный путь к файлу>"'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'System3264Wow' = '"<Полный путь к файлу>" --init'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'OneDrive10293' = '"<Полный путь к файлу>" /setup'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'WINDOWS' = '"<Полный путь к файлу>" --wininit'
- [<HKCU>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '"<Полный путь к файлу>"'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WIN32_1' = 'AWindowsService.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WIN32_2' = 'taskhost.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WIN32_3' = 'windowsx-c.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WIN32_4' = 'System.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WIN32_5' = '_default64.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WIN32_6' = 'native.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WIN32_7' = 'ux-cryptor.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WIN32_8' = 'crypt0rsx.exe'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\info-0v92.txt
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /im Explorer.exe /f
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\$unlocker_id.ux-cryptobytes
- C:\users\public\desktop\info-0v92.txt
- %HOMEPATH%\downloads\info-0v92.txt
- %HOMEPATH%\desktop\info-0v92.txt
- %HOMEPATH%\documents\info-0v92.txt
- D:\info-0v92.txt
- %HOMEPATH%\info-0v92.txt
Присваивает атрибут 'скрытый' для следующих файлов
- C:\users\public\desktop\info-0v92.txt
- %HOMEPATH%\downloads\info-0v92.txt
- <Имя диска съемного носителя>:\info-0v92.txt
- %HOMEPATH%\documents\info-0v92.txt
- %HOMEPATH%\desktop\info-0v92.txt
- D:\info-0v92.txt
- %TEMP%\$unlocker_id.ux-cryptobytes
- %HOMEPATH%\info-0v92.txt
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c D: & attrib +h +s +r +i /D /S * & echo [%RANDOM%] Ooops! Your files are encrypted by the CryptoBytes hacker group! Telegram for contact: @yes_u_are_hacked 1>info-0v92.txt & attrib -h +s +r i...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c F: & attrib +h +s +r +i /D /S * & echo [%RANDOM%] Ooops! Your files are encrypted by the CryptoBytes hacker group! Telegram for contact: @yes_u_are_hacked 1>info-0v92.txt & attrib -h +s +r i...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c cd "%userprofile%\desktop"&attrib +h +s +r +i /D /S * & echo [%RANDOM%] Ooops! Your files are encrypted by the CryptoBytes hacker group! Telegram for contact: @yes_u_are_hacked 1>info-0v92.t...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c cd "%userprofile%\downloads"&attrib +h +s +r +i /D /S * & echo [%RANDOM%] Ooops! Your files are encrypted by the CryptoBytes hacker group! Telegram for contact: @yes_u_are_hacked 1>info-0v92...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c cd "%userprofile%"&attrib +h +s +r +i /D /S * & echo [%RANDOM%] Ooops! Your files are encrypted by the CryptoBytes hacker group! Telegram for contact: @yes_u_are_hacked 1>info-0v92.txt & att...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c cd "%systemdrive%\Users\Public\Desktop"&attrib +h +s +r +i /D /S * & echo [%RANDOM%] Ooops! Your files are encrypted by the CryptoBytes hacker group! Telegram for contact: @yes_u_are_hacked ...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c cd "%userprofile%\documents"&attrib +h +s +r +i /D /S * & echo [%RANDOM%] Ooops! Your files are encrypted by the CryptoBytes hacker group! Telegram for contact: @yes_u_are_hacked 1>info-0v92...' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /im Explorer.exe /f' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c D: & attrib +h +s +r +i /D /S * & echo [%RANDOM%] Ooops! Your files are encrypted by the CryptoBytes hacker group! Telegram for contact: @yes_u_are_hacked 1>info-0v92.txt & attrib -h +s +r i...
- '<SYSTEM32>\cmd.exe' /c F: & attrib +h +s +r +i /D /S * & echo [%RANDOM%] Ooops! Your files are encrypted by the CryptoBytes hacker group! Telegram for contact: @yes_u_are_hacked 1>info-0v92.txt & attrib -h +s +r i...
- '<SYSTEM32>\cmd.exe' /c cd "%userprofile%\desktop"&attrib +h +s +r +i /D /S * & echo [%RANDOM%] Ooops! Your files are encrypted by the CryptoBytes hacker group! Telegram for contact: @yes_u_are_hacked 1>info-0v92.t...
- '<SYSTEM32>\cmd.exe' /c cd "%userprofile%\downloads"&attrib +h +s +r +i /D /S * & echo [%RANDOM%] Ooops! Your files are encrypted by the CryptoBytes hacker group! Telegram for contact: @yes_u_are_hacked 1>info-0v92...
- '<SYSTEM32>\cmd.exe' /c cd "%userprofile%"&attrib +h +s +r +i /D /S * & echo [%RANDOM%] Ooops! Your files are encrypted by the CryptoBytes hacker group! Telegram for contact: @yes_u_are_hacked 1>info-0v92.txt & att...
- '<SYSTEM32>\cmd.exe' /c cd "%systemdrive%\Users\Public\Desktop"&attrib +h +s +r +i /D /S * & echo [%RANDOM%] Ooops! Your files are encrypted by the CryptoBytes hacker group! Telegram for contact: @yes_u_are_hacked ...
- '<SYSTEM32>\cmd.exe' /c cd "%userprofile%\documents"&attrib +h +s +r +i /D /S * & echo [%RANDOM%] Ooops! Your files are encrypted by the CryptoBytes hacker group! Telegram for contact: @yes_u_are_hacked 1>info-0v92...
- '<SYSTEM32>\attrib.exe' +h +s +r +i /D /S *
- '<SYSTEM32>\attrib.exe' -h +s +r info-0v92.txt
