Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im ═Вї┤∩╨┼╩В«╡╡╫Вї╥╡╜╗╥╫░Вµ.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im ═Вї┤∩╨┼╩В«╡╡╗В·╣╣╜╗╥╫░Вµ.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im │⌡╩╝╗В».exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im ╜╗╥╫░Вµ.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im ├Γ╖╤╨╨╟Θ.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im IEXPLORE.EXE
- '%WINDIR%\syswow64\taskkill.exe' /f /im Thunder.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- iexplore.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\2526a56.bat
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\2526a56.bat
Удаляет следующие файлы
- %TEMP%\2526a56.bat
Изменяет файл HOSTS.
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\2526A56.bat" "<Полный путь к файлу>" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\2526A56.bat" "<Полный путь к файлу>" "
- '%WINDIR%\syswow64\find.exe' /i "127.0.0.1 s.laoqianzhuang.com"
- '%WINDIR%\syswow64\find.exe' /i "127.0.0.1 www.guge.cc"
- '%WINDIR%\syswow64\find.exe' /i "127.0.0.1 www.heimaying.com"
- '%WINDIR%\syswow64\find.exe' /i "127.0.0.1 www.zzq942.com"
- '%WINDIR%\syswow64\find.exe' /i "127.0.0.1 bbs.zzq942.com"
- '%WINDIR%\syswow64\attrib.exe' +r <DRIVERS>\etc\hosts
- '%WINDIR%\syswow64\attrib.exe' +h <DRIVERS>\etc\hosts
- '%WINDIR%\syswow64\attrib.exe' -r "peges\╫Вї╥╡╜╗╥╫░Вµ\T0002\usercomm.ini"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 2
- '%WINDIR%\syswow64\tasklist.exe' /nh
- '%WINDIR%\syswow64\find.exe' /i "│⌡╩╝╗В».exe"
- '%WINDIR%\syswow64\attrib.exe' -r "peges\╫Вї╥╡╜╗╥╫░Вµ\T0002\user.ini"
- '%WINDIR%\syswow64\attrib.exe' -r "peges\╫Вї╥╡╜╗╥╫░Вµ\Connect.cfg"
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 15
- '%WINDIR%\syswow64\find.exe' /i "╜╗╥╫░Вµ.exe"
- '%WINDIR%\syswow64\find.exe' /i "127.0.0.1 www.538538.com"
- '%WINDIR%\syswow64\find.exe' /i "├Γ╖╤╨╨╟Θ.exe"
- '%WINDIR%\syswow64\find.exe' /i "127.0.0.1 www.51929.com"
- '%WINDIR%\syswow64\find.exe' /i "127.0.0.1 bbs.laoqianzhuang.com"
- '%WINDIR%\syswow64\wbem\wmic.exe' process where name="ping.exe" call terminate
- '%WINDIR%\syswow64\attrib.exe' -h <DRIVERS>\etc\hosts
- '%WINDIR%\syswow64\attrib.exe' -r <DRIVERS>\etc\hosts
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" type <DRIVERS>\etc\hosts"
- '%WINDIR%\syswow64\find.exe' /i "127.0.0.1 tdx.com.cn"
- '%WINDIR%\syswow64\find.exe' /i "127.0.0.1 vip.tdx.com.cn"
- '%WINDIR%\syswow64\find.exe' /i "127.0.0.1 www.tdx.com.cn"
- '%WINDIR%\syswow64\find.exe' /i "127.0.0.1 mock.tdx.com.cn"
- '%WINDIR%\syswow64\find.exe' /i "127.0.0.1 www.tdxload.cn"
- '%WINDIR%\syswow64\find.exe' /i "127.0.0.1 www.tdxload.com"
- '%WINDIR%\syswow64\find.exe' /i "127.0.0.1 www.55188.com"
- '%WINDIR%\syswow64\find.exe' /i "127.0.0.1 www.chcj.net"
- '%WINDIR%\syswow64\find.exe' /i "127.0.0.1 www.goodgupiao.com"
- '%WINDIR%\syswow64\find.exe' /i "127.0.0.1 www.sbsb.com.cn"
- '%WINDIR%\syswow64\find.exe' /i "127.0.0.1 www.datianxia.net"
- '%WINDIR%\syswow64\find.exe' /i "127.0.0.1 www.lqz.cn"
- '%WINDIR%\syswow64\find.exe' /i "╤Г╘В±╚В»╔╠.exe"
