Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im adobe.exe
- '<SYSTEM32>\taskkill.exe' /f /im rundll32.exe
- '<SYSTEM32>\net.exe' stop CppWindowsService
- '<SYSTEM32>\net.exe' stop adobesys
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\rundll32.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\sysexecuser1
Удаляет следующие файлы
- %WINDIR%\sysexecuser1
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c echo elevated > %WINDIR%\sysexecuser1' (со скрытым окном)
- '<SYSTEM32>\msiexec.exe' /x {59C8DE28-88B9-40F6-A5C1-CB4F374F4B6F} /qn' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c del %LOCALAPPDATA%\wix\wix.vbs' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn adobesysuserdzaazngdlz /xml %LOCALAPPDATA%\wix\adobesysuser.xml /F' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn adobesyswmwjnucljr /xml %LOCALAPPDATA%\wix\adobesys.xml /F' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /delete /tn adobesys /F' (со скрытым окном)
- '<SYSTEM32>\attrib.exe' -s %WINDIR%\sys2.dll' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c del /Q %WINDIR%\adobe.exe' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c del /Q %WINDIR%\sys3t.dll' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c del /Q %WINDIR%\sys2t.dll' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c del /Q %WINDIR%\get.vbs' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c net stop adobesys' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c net stop CppWindowsService' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c del /Q %WINDIR%\hp\sysuser.dll' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c del /Q %WINDIR%\hp\sys3.dll' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c del /Q %WINDIR%\hp\sys2.dll' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c del /Q %WINDIR%\hp\dllexport.dll' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /f /im rundll32.exe' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c del /Q %WINDIR%\hp\adobe.exe' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /f /im adobe.exe' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c mkdir %WINDIR%\hp' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c del %WINDIR%\sysexecuser1' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /run /tn adobesyswmwjnucljr' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /run /tn adobesysuserdzaazngdlz' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c echo elevated > %WINDIR%\sysexecuser1
- '<SYSTEM32>\msiexec.exe' /x {59C8DE28-88B9-40F6-A5C1-CB4F374F4B6F} /qn
- '<SYSTEM32>\cmd.exe' /c del %LOCALAPPDATA%\wix\wix.vbs
- '<SYSTEM32>\schtasks.exe' /create /tn adobesysuserdzaazngdlz /xml %LOCALAPPDATA%\wix\adobesysuser.xml /F
- '<SYSTEM32>\schtasks.exe' /create /tn adobesyswmwjnucljr /xml %LOCALAPPDATA%\wix\adobesys.xml /F
- '<SYSTEM32>\schtasks.exe' /delete /tn adobesys /F
- '<SYSTEM32>\attrib.exe' -s %WINDIR%\sys2.dll
- '<SYSTEM32>\cmd.exe' /c del /Q %WINDIR%\adobe.exe
- '<SYSTEM32>\cmd.exe' /c del /Q %WINDIR%\sys3t.dll
- '<SYSTEM32>\cmd.exe' /c del /Q %WINDIR%\sys2t.dll
- '<SYSTEM32>\cmd.exe' /c del /Q %WINDIR%\get.vbs
- '<SYSTEM32>\net1.exe' stop adobesys
- '<SYSTEM32>\cmd.exe' /c net stop adobesys
- '<SYSTEM32>\net1.exe' stop CppWindowsService
- '<SYSTEM32>\cmd.exe' /c net stop CppWindowsService
- '<SYSTEM32>\cmd.exe' /c del /Q %WINDIR%\hp\sysuser.dll
- '<SYSTEM32>\cmd.exe' /c del /Q %WINDIR%\hp\sys3.dll
- '<SYSTEM32>\cmd.exe' /c del /Q %WINDIR%\hp\sys2.dll
- '<SYSTEM32>\cmd.exe' /c del /Q %WINDIR%\hp\dllexport.dll
- '<SYSTEM32>\cmd.exe' /c del /Q %WINDIR%\hp\adobe.exe
- '<SYSTEM32>\cmd.exe' /c mkdir %WINDIR%\hp
- '<SYSTEM32>\cmd.exe' /c del %WINDIR%\sysexecuser1
- '<SYSTEM32>\schtasks.exe' /run /tn adobesyswmwjnucljr
- '<SYSTEM32>\schtasks.exe' /run /tn adobesysuserdzaazngdlz
