Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\winsparcontrols
- <SYSTEM32>\tasks\autowake
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\9733.ico
- %HOMEPATH%\9733.ico.log
- %TEMP%\9733.ico.log
- %TEMP%\7zsfx000.cmd
- %HOMEPATH%\documents\jump
- %HOMEPATH%\music\jam
Удаляет следующие файлы
- %HOMEPATH%\9733.ico.log.vbs
- %TEMP%\7zsfx000.cmd
Перемещает следующие файлы
- %HOMEPATH%\9733.ico.log в %HOMEPATH%\9733.ico.log.vbs
Самоудаляется.
Сетевая активность
Подключается к
- 'jo#####ne71.alabarda.ru':80
UDP
- DNS ASK jo#####ne71.alabarda.ru
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%HOMEPATH%\9733.ico.log.vbs"
- '<SYSTEM32>\wscript.exe' %HOMEPATH%\music\jam //e:vbscript /jerusalem /July /just //b
- '<SYSTEM32>\wscript.exe' %HOMEPATH%\documents\jump //e:vbscript /jerusalem /July /just //b
- '%WINDIR%\syswow64\cmd.exe' /c copy /y %TEMP%\9733.ico %HOMEPATH%\9733.ico.log' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo ''>>%TEMP%\9733.ico.log' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo 9733.ico>%TEMP%\9733.ico' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c rename %HOMEPATH%\9733.ico.log 9733.ico.log.vbs' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c start /b %HOMEPATH%\9733.ico.log.vbs' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo 9733.ico.log>%HOMEPATH%\9733.ico.log.vbs' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del /f /q %HOMEPATH%\9733.ico.log.vbs' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\7ZSfx000.cmd" "' (со скрытым окном)
- '<SYSTEM32>\wscript.exe' %HOMEPATH%\music\jam //e:vbscript /jerusalem /July /just //b' (со скрытым окном)
- '<SYSTEM32>\wscript.exe' %HOMEPATH%\documents\jump //e:vbscript /jerusalem /July /just //b' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c copy /y %TEMP%\9733.ico %HOMEPATH%\9733.ico.log
- '%WINDIR%\syswow64\cmd.exe' /c echo ''>>%TEMP%\9733.ico.log
- '%WINDIR%\syswow64\cmd.exe' /c echo 9733.ico>%TEMP%\9733.ico
- '%WINDIR%\syswow64\cmd.exe' /c rename %HOMEPATH%\9733.ico.log 9733.ico.log.vbs
- '%WINDIR%\syswow64\cmd.exe' /c start /b %HOMEPATH%\9733.ico.log.vbs
- '%WINDIR%\syswow64\cmd.exe' /c echo 9733.ico.log>%HOMEPATH%\9733.ico.log.vbs
- '%WINDIR%\syswow64\cmd.exe' /c del /f /q %HOMEPATH%\9733.ico.log.vbs
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\7ZSfx000.cmd" "
- '%ProgramFiles%\microsoft office\office14\winword.exe' /Automation -Embedding
- '<SYSTEM32>\taskeng.exe' {9D6F4A4C-1A43-4FBE-8EE1-CC7EAC938E7D} S-1-5-21-1960123792-2022915161-3775307078-1001:qctrtfgacej\user:Interactive:[1]
