Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\system.lnk
- %APPDATA%\microsoft\windows\start menu\programs\startup\audio system.lnk
- <SYSTEM32>\tasks\audio system
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Изменения в файловой системе
Создает следующие файлы
- C:\perform\folder.firewall.blocker.exe
- C:\perform\system.vbs
- C:\perform\system.xml
- C:\perform\audio system.vbs
- C:\perform\7za.dll
- C:\perform\7zxa.dll
- C:\perform\gtservices.exe
- C:\netframework.4.5.2\gtservices.exe
- C:\netframework.4.5.2\audio system.bat
- C:\netframework.4.5.2\audio system.vbs
- C:\netframework.4.5.2\mouse.bat
- nul
- C:\perform\7za.exe
- C:\perform\ntrights.exe
- C:\perform\mouse.exe
- C:\perform\winio64.sys
- C:\perform\unistall.vbs
- C:\perform\winring0x64.sys
- C:\perform\audio.vbs
- C:\perform\audio system.bat
- C:\perform\visual-c++.exe
- %TEMP%\ixp000.tmp\unpack.exe
- C:\perform\unpack.bat
- C:\perform\uharc.exe
- C:\perform\shellwinuha.dll
- C:\perform\unrar.dll
- C:\perform\winuha.exe.manifest
- C:\perform\portable2.reg
- C:\perform\uharc06.sfx
- C:\perform\winuha02.sfx
- C:\perform\win.uha
- C:\perform\call.vbs
- C:\perform\mouse.bat
- C:\perform\unistall.bat
- C:\perform\system.bat
- C:\perform\update.vbs
- C:\perform\system.ico
Присваивает атрибут 'скрытый' для следующих файлов
- C:\perform\system.bat
- C:\perform\system.vbs
- C:\netframework.4.5.2\audio.exe
Удаляет следующие файлы
- %TEMP%\ixp000.tmp\unpack.exe
Перемещает следующие файлы
- C:\netframework.4.5.2\gtservices.exe в C:\netframework.4.5.2\audio.exe
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- 'C:\perform\folder.firewall.blocker.exe'
- 'C:\perform\visual-c++.exe'
- '%TEMP%\ixp000.tmp\unpack.exe' -pativador2023/rob2353427\...@! -dC:\Perform
- '%WINDIR%\syswow64\wscript.exe' "C:\Perform\call.vbs"
- 'C:\perform\uharc.exe' e -y -tC:\Perform win.uha
- '%WINDIR%\syswow64\wscript.exe' "C:\Perform\audio.vbs"
- '%WINDIR%\syswow64\wscript.exe' "C:\Perform\unistall.vbs"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "(gc C:\Perform\system.xml) -replace '22', 'S-1-5-21-1960123792-2022915161-3775307078-1001 ' | Out-File -encoding ASCII C:\Perform\system.xml"
- '<SYSTEM32>\wscript.exe' "C:\Perform\audio.vbs"
- '<SYSTEM32>\wscript.exe' "C:\Perform\unistall.vbs"
- 'C:\perform\ntrights.exe' -u user +r SeLockMemoryPrivilege
- '<SYSTEM32>\cmd.exe' /c unpack.exe -pativador2023/rob2353427\...@! -dC:\Perform' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c C:\Perform\unpack.bat' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "C:\Perform\unpack.bat" ELEV' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /k unistall.bat' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /k unistall.bat' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c unpack.exe -pativador2023/rob2353427\...@! -dC:\Perform
- '%WINDIR%\syswow64\attrib.exe' +H C:\Perform
- '%WINDIR%\syswow64\attrib.exe' +H C:\Netframework.4.5.2
- '%WINDIR%\syswow64\attrib.exe' +H C:\Netframework.4.5.2\audio.exe
- '%WINDIR%\syswow64\ping.exe' -n 50 localhost
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "audio system" /XML "C:\Perform\system.xml"
- '%WINDIR%\syswow64\find.exe' /i "SID"
- '%WINDIR%\syswow64\wbem\wmic.exe' path win32_useraccount where name='user' get sid /value
- '%WINDIR%\syswow64\cmd.exe' /c wmic path win32_useraccount where name='user' get sid /value | find /i "SID"
- '%WINDIR%\syswow64\icacls.exe' C:\Perform\system.bat /deny *S-1-1-0:(DE,DC,WA) *S-1-5-7:(DE,DC,WA)
- '%WINDIR%\syswow64\icacls.exe' C:\Perform\system.bat /deny *S-1-1-0:(DE,WA) *S-1-5-7:(DE,WA)
- '%WINDIR%\syswow64\attrib.exe' +H system.vbs
- '%WINDIR%\syswow64\attrib.exe' +H system.bat
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath "C:\Perform,%APPDATA%,C:\Netframework.4.5.2"
- '%WINDIR%\syswow64\powercfg.exe' /setactive 8c5e7fda-e8bf-4a96-9a85-a6e23a8c635c
- '%WINDIR%\syswow64\cmd.exe' /k unistall.bat
- '%WINDIR%\syswow64\cmd.exe' /C "C:\Perform\unpack.bat" ELEV
- '<SYSTEM32>\cmd.exe' /c C:\Perform\unpack.bat
- '%WINDIR%\syswow64\cmd.exe' /c del "C:\Perform\unistall.bat"
- '<SYSTEM32>\cmd.exe' /k unistall.bat
