Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /im ExecPubg.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im TslGame.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im TslGame_BE.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im TslGame_UC.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im TslGame_ZK.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im BEService_x64.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im ucldr_battlegrounds_gl.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /f /im pubg_local_server.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im iigw_server.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im beservice.exe
- '%WINDIR%\syswow64\net.exe' STOP BEService
- '%WINDIR%\syswow64\net.exe' STOP BEDaisy
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\8qizhmi1.bat
- <Текущая директория>\7fdi.exe
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\mhl0l6tx\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\zesre0br\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\83lw330q\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\crk0blg3\desktop.ini
- %APPDATA%\microsoft\windows\cookies\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012022100520221006\index.dat
- %APPDATA%\microsoft\windows\iecompatcache\index.dat
- nul
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\antiphishing\2cedbfbc-dba8-43aa-b1fd-cc8e6316e3e2.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\mhl0l6tx\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\zesre0br\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\83lw330q\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\crk0blg3\desktop.ini
- %APPDATA%\microsoft\windows\cookies\desktop.ini
Удаляет следующие файлы
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012022100520221006\index.dat
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\antiphishing\2cedbfbc-dba8-43aa-b1fd-cc8e6316e3e2.dat
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\83lw330q\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\crk0blg3\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\mhl0l6tx\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\zesre0br\desktop.ini
Изменяет следующие файлы
Подменяет следующие файлы
- %LOCALAPPDATA%\Microsoft\Windows\<INETFILES>\Content.IE5\desktop.ini
- %LOCALAPPDATA%\Microsoft\Windows\History\History.IE5\desktop.ini
- %APPDATA%\Macromedia\Flash Player\macromedia.com\support\flashplayer\sys\settings.sol
Самоперемещается
- из <Полный путь к файлу> в %TEMP%\848395\....\temp
Сетевая активность
Подключается к
- '21#.#9.103.71':8777
- 'au###365.com':8777
UDP
- DNS ASK au###365.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: '#32770' WindowName: 'Г–ГГ–Гѓ Internet Explorer ÉèÖÃ'
Создает и запускает на исполнение
- '%WINDIR%\syswow64\rundll32.exe' InetCpl.cpl,ClearMyTracksByProcess 4351' (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' InetCpl.cpl,ResetIEtoDefaults' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c %TEMP%\\8qIzhMi1.bat
- '%WINDIR%\syswow64\rundll32.exe' InetCpl.cpl,ClearMyTracksByProcess 4351
- '%WINDIR%\syswow64\rundll32.exe' InetCpl.cpl,ResetIEtoDefaults
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' -ResetDestinationList
- '%WINDIR%\syswow64\ping.exe' -n 5 127.1
- '%WINDIR%\syswow64\net1.exe' STOP BEService
- '%WINDIR%\syswow64\net1.exe' STOP BEDaisy
