Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /IM HyperPKITokenManager_HYP2003.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM HyperPKITokenManager_ePass2003.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM ePassManager_2003.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM HyperPKICertD_ePass2003.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM ePassCertd_2003.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM HyperPKICertD_HYP2003.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\~nsu.tmp\au_.exe
- %TEMP%\nsq7159.tmp\system.dll
- %TEMP%\nsq7159.tmp\userinfo.dll
- %TEMP%\nsq7159.tmp\nsexec.dll
- %TEMP%\nsq7159.tmp\killprocdll.dll
Удаляет следующие файлы
- %TEMP%\nsq7159.tmp\killprocdll.dll
- %TEMP%\nsq7159.tmp\nsexec.dll
- %TEMP%\nsq7159.tmp\system.dll
- %TEMP%\nsq7159.tmp\userinfo.dll
Самоудаляется.
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\~nsu.tmp\au_.exe' _?=<Текущая директория>\
- '%WINDIR%\syswow64\taskkill.exe' /F /IM HyperPKITokenManager_HYP2003.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /F /IM HyperPKITokenManager_ePass2003.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /F /IM ePassManager_2003.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /F /IM HyperPKICertD_ePass2003.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /F /IM ePassCertd_2003.exe' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /F /IM HyperPKICertD_HYP2003.exe' (со скрытым окном)
