Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\avenger_aethershut_infignitty
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\{n7pybi46qt6fx0q6p7y7728{7395d70f-38ef-4425-8f27-d7f93e2d82ef}}.zip
- %APPDATA%\ad\log\runlog.cfg
- %APPDATA%\aethershut\res\x_close_transparent.png.cfg
- %APPDATA%\aethershut\res\x_close_light.png.cfg
- %APPDATA%\aethershut\res\x_close_dim.png.cfg
- %APPDATA%\aethershut\res\close_n.png.cfg
- %APPDATA%\aethershut\res\close_f.png.cfg
- %APPDATA%\aethershut\particle\info\captainconfig.txt
- %APPDATA%\aethershut\particle\info\tmp\cfg_uilistconfig.xml
- %LOCALAPPDATA%\{ophy3w95crq1bp1bj4ca648{6ee6b323-3580-4e08-9576-6dc9bf0fb316}}.zip
- %APPDATA%\aethershut\particle\soulcomerc.txt
- %APPDATA%\aethershut\particle\info\tmp\cfg_pcadconfig.json
- %LOCALAPPDATA%\{ydt3aqxsdju60bt3rov1648{a60e60c5-adb7-4ef0-9468-bb1884ddc3a9}}.zip
- %APPDATA%\aethershut\particle\strengthdcfg.txt
- %APPDATA%\ad\log\environmentlog.cfg
- %APPDATA%\aethershut\particle\info\tmp\dconfig.json
- %APPDATA%\aethershut\deskinstall.cfg
- %APPDATA%\aethershut\particle\timeupda.txt
- %APPDATA%\aethershut\particle\mindtempup.txt
- %APPDATA%\aethershut\particle\info\tmp\cfg_updateconfig_use.json
- %LOCALAPPDATA%\{0uuntf69lid6b6e2zw9w648{989d4f6c-12c5-4284-8b72-e6f1cd5b1da4}}.zip
- %APPDATA%\aethershut\particle\channelinfo.txt
- %ProgramFiles(x86)%\aethershut\uninstall.exe
- %ProgramFiles(x86)%\aethershut\etheric\tesseractaethr.exe
- %ProgramFiles(x86)%\aethershut\etheric\scepterchita.exe
- %ProgramFiles(x86)%\aethershut\etheric\infinity\aetherorb.dll
- %ProgramFiles(x86)%\aethershut\etheric\infinity\aetheraven.dll
- %ProgramFiles(x86)%\aethershut\etheric\agamottoasg.exe
- %ProgramFiles(x86)%\aethershut\aethershut.exe
- %LOCALAPPDATA%\{bl0t6nw46xj2e06kg9fg648{bfd7ff84-bf4e-4a63-8599-22765af6da3c}}.zip
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012023021520230216\index.dat
Удаляет следующие файлы
- %APPDATA%\aethershut\particle\info\tmp\cfg_updateconfig_use.json
- %APPDATA%\aethershut\particle\timeupda.txt
- %APPDATA%\aethershut\particle\info\tmp\dconfig.json
- %APPDATA%\aethershut\particle\info\tmp\cfg_pcadconfig.json
- %APPDATA%\aethershut\particle\info\tmp\cfg_uilistconfig.xml
Перемещает следующие файлы
- %APPDATA%\aethershut\res\close_f.png.cfg в %APPDATA%\aethershut\res\close_f.png
- %APPDATA%\aethershut\res\close_n.png.cfg в %APPDATA%\aethershut\res\close_n.png
- %APPDATA%\aethershut\res\x_close_dim.png.cfg в %APPDATA%\aethershut\res\x_close_dim.png
- %APPDATA%\aethershut\res\x_close_light.png.cfg в %APPDATA%\aethershut\res\x_close_light.png
- %APPDATA%\aethershut\res\x_close_transparent.png.cfg в %APPDATA%\aethershut\res\x_close_transparent.png
Изменяет следующие файлы
Подменяет следующие файлы
- %APPDATA%\aethershut\particle\timeupda.txt
Сетевая активность
Подключается к
- 'at####.bbkantu.com':80
- 'pv.#ohu.com':80
- 'sh##.#hatangmu.cn':80
- 'fm#.##shaobin.cn':80
- 'cf#.##shaobin.cn':80
- 'ph###.dshfioy.cn':80
TCP
Запросы HTTP GET
- http://at####.bbkantu.com/udfv/eyshr/shutsd/dcvhd23/5TLs51H7XCOOrj%2BcJ7dqEi2%2F6ij2NHU2jnWpkgrVFEaHjBEMERpU%2BEkhIZMIKW%2FtrN0REk%2BRLn8eMm8Jn5m95GRmeWN2YjM0ZGZndHk0NTY%3D
- http://ph###.dshfioy.cn/632d5948702dd/fmt-0923-close.png
- http://ph###.dshfioy.cn/63c5287b26a63/FMT-230116.png
- http://cf#.##shaobin.cn/res/uilistconfig/1751/2172/2173/cfg_uilistconfig_normal.json?ve#######
- http://fm#.##shaobin.cn/sjvtwo/iteration/20220926_160614_5031.js?v=#
- http://fm#.##shaobin.cn/sjvtwo/iteration/BaseJsLoad.js?v=#
- http://at####.bbkantu.com/63e09f0c94448/index2.html?so###########################################################################################################################################...
- http://sh##.#hatangmu.cn/627df94d8d1e8/x_close_transparent.png.png
- http://sh##.#hatangmu.cn/627df9b6d2987/x_close_light.png
- http://sh##.#hatangmu.cn/627dfbe0dc72e/x_close_dim.png
- http://sh##.#hatangmu.cn/627ce15591276/close_n.png
- http://sh##.#hatangmu.cn/627ce131d421b/close_f.png
- http://at####.bbkantu.com/udfv/eyshr/shutsd/dcvhd23/0M5OrvsEdTrab%2Bf7ZwihkwLxihKfjhBhLnt7d1Ct7Ieoe51pTQZPwIc5rDwXFrRkjKMG3q5D2HzkB6UuUcJWc2RmeWN2YjM0ZGZndHk0NTY%3D
- http://pv.#ohu.com/cityjson
- http://at####.bbkantu.com/udfv/eyshr/shutsd/dcvhd23/IVUi2AYPbjn%2BP7ENBfhIgdHBGNgcH%2B9r1e8wQmZW535qJUY%2FVuPogjs4hIwjM3p%2FZGZ5Y3ZiMzRkZmd0eTQ1Ng%3D%3D
- http://at####.bbkantu.com:80/udfv/eyshr/shutsd/dcvhd23/qPeYl35A8X4OiL%2FjSaTDwh6ZcuGlzGTl718Olf3WeGei4ICOmLXk8w43LiD2F4HYZGZ5Y3ZiMzRkZmd0eTQ1Ng%3D%3D via at####.bbkantu.com
- http://ph###.dshfioy.cn/632d5970165ab/fmt-0923-feedback.png
- http://ph###.dshfioy.cn/638dbac7026ca/check_box_f.png
Запросы HTTP POST
- http://at####.bbkantu.com/udfv/eyshr/shutsd/dcvhd23/dZBgjMLPij%2BxJc3dL3VZLGRmeWN2YjM0ZGZndHk0NTY%3D
- http://at####.bbkantu.com/udfv/eyshr/shutsd/dcvhd23/wg8tZXaYMbxafYfLXN9N2WRmeWN2YjM0ZGZndHk0NTY%3D
UDP
- DNS ASK at####.bbkantu.com
- DNS ASK pv.#ohu.com
- DNS ASK ip.##.126.net
- DNS ASK sh##.#hatangmu.cn
- DNS ASK fm#.##shaobin.cn
- DNS ASK cf#.##shaobin.cn
- DNS ASK ph###.dshfioy.cn
Другое
Ищет следующие окна
- ClassName: 'DirectUIHWND' WindowName: ''
- ClassName: 'CtrlNotifySink' WindowName: ''
- ClassName: 'Button' WindowName: ''
- ClassName: 'FileManager_ABB_FileManager' WindowName: '????'
- ClassName: 'TrayNotifyWnd' WindowName: ''
- ClassName: 'TrayClockWClass' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
- ClassName: 'Shell DocObject View' WindowName: ''
- ClassName: 'Internet Explorer_Server' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\aethershut\etheric\tesseractaethr.exe' install
- '%ProgramFiles(x86)%\aethershut\etheric\agamottoasg.exe' install
- '%ProgramFiles(x86)%\aethershut\etheric\scepterchita.exe' install
- '%ProgramFiles(x86)%\aethershut\aethershut.exe' install
- '%ProgramFiles(x86)%\aethershut\etheric\tesseractaethr.exe'
- '%WINDIR%\syswow64\schtasks.exe' /delete /TN Avenger_AetherShut_Infignitty /f' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /delete /TN TaskCreate_TesseractAethr.exe /f' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\schtasks.exe' /delete /TN Avenger_AetherShut_Infignitty /f
- '%WINDIR%\syswow64\rundll32.exe' /s "%ProgramFiles(x86)%\\AetherShut\Etheric\Infinity\Aetheraven.dll" DllGetClassObjectEx
- '<SYSTEM32>\rundll32.exe' /s "%ProgramFiles(x86)%\\AetherShut\Etheric\Infinity\Aetheraven.dll" DllGetClassObjectEx
- '%WINDIR%\syswow64\schtasks.exe' /create /sc ONLOGON /tn Avenger_AetherShut_Infignitty /tr "\"%ProgramFiles(x86)%\\AetherShut\Etheric\TesseractAethr.exe\" taskactive" /rl HIGHEST
- '%WINDIR%\syswow64\schtasks.exe' /delete /TN TaskCreate_TesseractAethr.exe /f
