Техническая информация
Изменения в файловой системе
Создает следующие файлы
- nul
- %TEMP%\autb0a9.tmp
- %TEMP%\autb0b9.tmp
- %TEMP%\autb0d9.tmp
- %TEMP%\autbccc.tmp
- %WINDIR%\setup\8+2.txt
- %TEMP%\autfe8d.tmp
- %TEMP%\autfe8e.tmp
- %TEMP%\autfe9f.tmp
- %TEMP%\autfea0.tmp
- %TEMP%\autfeb1.tmp
- <Текущая директория>\regset.ini
- %TEMP%\aut2c56.tmp
- %TEMP%\aut2c67.tmp
- %TEMP%\aut2c68.tmp
Удаляет следующие файлы
- %TEMP%\autb0a9.tmp
- %TEMP%\autb0b9.tmp
- %TEMP%\autb0d9.tmp
- %TEMP%\autbccc.tmp
- %WINDIR%\setup\8+2.txt
- %TEMP%\autfe8d.tmp
- %TEMP%\autfe8e.tmp
- %TEMP%\autfe9f.tmp
- %TEMP%\autfea0.tmp
- %TEMP%\autfeb1.tmp
- <Текущая директория>\regset.ini
- %TEMP%\aut2c56.tmp
- %TEMP%\aut2c67.tmp
- %TEMP%\aut2c68.tmp
Самоудаляется.
Другое
Ищет следующие окна
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c @echo off' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c @del /q /f regset.ini' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c regini regset.ini' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c echo HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\2345Explorer [2 8 19] >regset.ini' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c if exist regset.ini @del /q /f regset.ini' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c echo y|cacls "%SystemDrive%\Users\Administrator\AppData\Local\2345Explorer\User Data\Default\page_fileV2.dat" /c /p everyone:n >nul 2>nul' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c echo y|cacls "%SystemDrive%\Users\Administrator\AppData\Roaming\2345Explorer\Users\Default\Setting.cfg" /c /p everyone:n >nul 2>nul' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c echo y|cacls "%SystemDrive%\Users\Administrator\AppData\Local\2345Explorer\User Data\Default\page_file.dat" /c /p everyone:n >nul 2>nul' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c echo y|cacls "%SystemDrive%\Users\Administrator\AppData\Roaming\2345Explorer\Users\Default\Default.cfg" /c /p everyone:n >nul 2>nul' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c attrib +a +s +h +r "%SystemDrive%\Users\Administrator\AppData\Local\2345Explorer\User Data\Default\page_fileV2.dat" >nul 2>nul' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c attrib +a +s +h +r "%SystemDrive%\Users\Administrator\AppData\Roaming\2345Explorer\Users\Default\Default.cfg" >nul 2>nul' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ping 127.0.0.1 -n 1&del /q "<Полный путь к файлу>"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c attrib +a +s +h +r "%SystemDrive%\Users\Administrator\AppData\Roaming\2345Explorer\Users\Default\Setting.cfg" >nul 2>nul' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C cacls %ALLUSERSPROFILE%\Tencent\QQPCMgr\WifiSafeCfg.hiv /T /C /E /R ADMINISTRATORS ADMINISTRATOR SYSTEM GUEST USERS /P EVERYONE:R' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c attrib +a +s +h +r "%ALLUSERSPROFILE%\Tencent\QQPCMgr\WifiSafeCfg.hiv" >nul 2>nul' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C cacls %ALLUSERSPROFILE%\Tencent\QQPCMgr\Startup.hiv /T /C /E /R ADMINISTRATORS ADMINISTRATOR SYSTEM GUEST USERS /P EVERYONE:R' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c attrib +a +s +h +r "%ALLUSERSPROFILE%\Tencent\QQPCMgr\Startup.hiv" >nul 2>nul' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C cacls %ALLUSERSPROFILE%\Tencent\QQPCMgr\QMConfig.hiv /T /C /E /R ADMINISTRATORS ADMINISTRATOR SYSTEM GUEST USERS /P EVERYONE:R' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c attrib +a +s +h +r "%ALLUSERSPROFILE%\Tencent\QQPCMgr\QMConfig.hiv" >nul 2>nul' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C cacls %ALLUSERSPROFILE%\Tencent\QQPCMgr\NetflowCfg.hiv /T /C /E /R ADMINISTRATORS ADMINISTRATOR SYSTEM GUEST USERS /P EVERYONE:R' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c attrib +a +s +h +r "%ALLUSERSPROFILE%\Tencent\QQPCMgr\NetflowCfg.hiv" >nul 2>nul' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ping -n 10 127.0>nul' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c netsh interface set interface "以太网" disabled' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c attrib +a +s +h +r "%SystemDrive%\Users\Administrator\AppData\Local\2345Explorer\User Data\Default\page_file.dat" >nul 2>nul' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ping -n 3 127.1 & del /q "<Полный путь к файлу>"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c @echo off
- '<SYSTEM32>\cmd.exe' /c attrib +a +s +h +r "%SystemDrive%\Users\Administrator\AppData\Roaming\2345Explorer\Users\Default\Default.cfg" >nul 2>nul
- '<SYSTEM32>\attrib.exe' +a +s +h +r "C:\Users\Administrator\AppData\Roaming\2345Explorer\Users\Default\Default.cfg"
- '<SYSTEM32>\cmd.exe' /c attrib +a +s +h +r "%SystemDrive%\Users\Administrator\AppData\Local\2345Explorer\User Data\Default\page_fileV2.dat" >nul 2>nul
- '<SYSTEM32>\attrib.exe' +a +s +h +r "C:\Users\Administrator\AppData\Local\2345Explorer\User Data\Default\page_fileV2.dat"
- '<SYSTEM32>\cmd.exe' /c echo y|cacls "%SystemDrive%\Users\Administrator\AppData\Roaming\2345Explorer\Users\Default\Default.cfg" /c /p everyone:n >nul 2>nul
- '<SYSTEM32>\cmd.exe' /S /D /c" echo y"
- '<SYSTEM32>\cacls.exe' "C:\Users\Administrator\AppData\Roaming\2345Explorer\Users\Default\Default.cfg" /c /p everyone:n
- '<SYSTEM32>\cmd.exe' /c echo y|cacls "%SystemDrive%\Users\Administrator\AppData\Local\2345Explorer\User Data\Default\page_file.dat" /c /p everyone:n >nul 2>nul
- '<SYSTEM32>\cacls.exe' "C:\Users\Administrator\AppData\Local\2345Explorer\User Data\Default\page_file.dat" /c /p everyone:n
- '<SYSTEM32>\cacls.exe' %ALLUSERSPROFILE%\Tencent\QQPCMgr\QMConfig.hiv /T /C /E /R ADMINISTRATORS ADMINISTRATOR SYSTEM GUEST USERS /P EVERYONE:R
- '<SYSTEM32>\cmd.exe' /c echo y|cacls "%SystemDrive%\Users\Administrator\AppData\Roaming\2345Explorer\Users\Default\Setting.cfg" /c /p everyone:n >nul 2>nul
- '<SYSTEM32>\cmd.exe' /c echo y|cacls "%SystemDrive%\Users\Administrator\AppData\Local\2345Explorer\User Data\Default\page_fileV2.dat" /c /p everyone:n >nul 2>nul
- '<SYSTEM32>\cacls.exe' "C:\Users\Administrator\AppData\Local\2345Explorer\User Data\Default\page_fileV2.dat" /c /p everyone:n
- '<SYSTEM32>\cmd.exe' /c if exist regset.ini @del /q /f regset.ini
- '<SYSTEM32>\cmd.exe' /c echo HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\2345Explorer [2 8 19] >regset.ini
- '<SYSTEM32>\cmd.exe' /c regini regset.ini
- '<SYSTEM32>\regini.exe' regset.ini
- '<SYSTEM32>\cmd.exe' /c @del /q /f regset.ini
- '<SYSTEM32>\cmd.exe' /c ping 127.0.0.1 -n 1&del /q "<Полный путь к файлу>"
- '<SYSTEM32>\cmd.exe' /c ping -n 3 127.1 & del /q "<Полный путь к файлу>"
- '<SYSTEM32>\cmd.exe' /c attrib +a +s +h +r "%SystemDrive%\Users\Administrator\AppData\Roaming\2345Explorer\Users\Default\Setting.cfg" >nul 2>nul
- '<SYSTEM32>\attrib.exe' +a +s +h +r "C:\Users\Administrator\AppData\Roaming\2345Explorer\Users\Default\Setting.cfg"
- '<SYSTEM32>\attrib.exe' +a +s +h +r "C:\Users\Administrator\AppData\Local\2345Explorer\User Data\Default\page_file.dat"
- '<SYSTEM32>\cmd.exe' /c attrib +a +s +h +r "%SystemDrive%\Users\Administrator\AppData\Local\2345Explorer\User Data\Default\page_file.dat" >nul 2>nul
- '%WINDIR%\syswow64\regini.exe' C:\Users\Administrator\AppData\Local\Temp\se6.txt
- '<SYSTEM32>\netsh.exe' interface set interface "以太网" disabled
- '<SYSTEM32>\cmd.exe' /c ping -n 10 127.0>nul
- '<SYSTEM32>\ping.exe' -n 10 127.0
- '<SYSTEM32>\cmd.exe' /c attrib +a +s +h +r "%ALLUSERSPROFILE%\Tencent\QQPCMgr\NetflowCfg.hiv" >nul 2>nul
- '<SYSTEM32>\attrib.exe' +a +s +h +r "%ALLUSERSPROFILE%\Tencent\QQPCMgr\NetflowCfg.hiv"
- '<SYSTEM32>\cmd.exe' /C cacls %ALLUSERSPROFILE%\Tencent\QQPCMgr\NetflowCfg.hiv /T /C /E /R ADMINISTRATORS ADMINISTRATOR SYSTEM GUEST USERS /P EVERYONE:R
- '<SYSTEM32>\cacls.exe' %ALLUSERSPROFILE%\Tencent\QQPCMgr\NetflowCfg.hiv /T /C /E /R ADMINISTRATORS ADMINISTRATOR SYSTEM GUEST USERS /P EVERYONE:R
- '<SYSTEM32>\cmd.exe' /c attrib +a +s +h +r "%ALLUSERSPROFILE%\Tencent\QQPCMgr\QMConfig.hiv" >nul 2>nul
- '<SYSTEM32>\attrib.exe' +a +s +h +r "%ALLUSERSPROFILE%\Tencent\QQPCMgr\QMConfig.hiv"
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 1
- '<SYSTEM32>\cacls.exe' "C:\Users\Administrator\AppData\Roaming\2345Explorer\Users\Default\Setting.cfg" /c /p everyone:n
- '<SYSTEM32>\cmd.exe' /C cacls %ALLUSERSPROFILE%\Tencent\QQPCMgr\QMConfig.hiv /T /C /E /R ADMINISTRATORS ADMINISTRATOR SYSTEM GUEST USERS /P EVERYONE:R
- '<SYSTEM32>\attrib.exe' +a +s +h +r "%ALLUSERSPROFILE%\Tencent\QQPCMgr\Startup.hiv"
- '<SYSTEM32>\cmd.exe' /C cacls %ALLUSERSPROFILE%\Tencent\QQPCMgr\Startup.hiv /T /C /E /R ADMINISTRATORS ADMINISTRATOR SYSTEM GUEST USERS /P EVERYONE:R
- '<SYSTEM32>\cacls.exe' %ALLUSERSPROFILE%\Tencent\QQPCMgr\Startup.hiv /T /C /E /R ADMINISTRATORS ADMINISTRATOR SYSTEM GUEST USERS /P EVERYONE:R
- '<SYSTEM32>\cmd.exe' /c attrib +a +s +h +r "%ALLUSERSPROFILE%\Tencent\QQPCMgr\WifiSafeCfg.hiv" >nul 2>nul
- '<SYSTEM32>\attrib.exe' +a +s +h +r "%ALLUSERSPROFILE%\Tencent\QQPCMgr\WifiSafeCfg.hiv"
- '<SYSTEM32>\cmd.exe' /C cacls %ALLUSERSPROFILE%\Tencent\QQPCMgr\WifiSafeCfg.hiv /T /C /E /R ADMINISTRATORS ADMINISTRATOR SYSTEM GUEST USERS /P EVERYONE:R
- '<SYSTEM32>\cacls.exe' %ALLUSERSPROFILE%\Tencent\QQPCMgr\WifiSafeCfg.hiv /T /C /E /R ADMINISTRATORS ADMINISTRATOR SYSTEM GUEST USERS /P EVERYONE:R
- '%WINDIR%\regedit.exe' /s C:\Users\Administrator\AppData\Local\Temp\se6.reg
- '<SYSTEM32>\regini.exe' C:\Users\Administrator\AppData\Local\Temp\se6.txt
- '<SYSTEM32>\cmd.exe' /c netsh interface set interface "以太网" disabled
- '<SYSTEM32>\cmd.exe' /c attrib +a +s +h +r "%ALLUSERSPROFILE%\Tencent\QQPCMgr\Startup.hiv" >nul 2>nul
- '<SYSTEM32>\ping.exe' -n 3 127.1
