Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im KsDumperClient.exe
- '<SYSTEM32>\taskkill.exe' /FI "IMAGENAME eq httpdebugger*" /IM * /F /T
- '<SYSTEM32>\taskkill.exe' /f /im Ida64.exe
- '<SYSTEM32>\taskkill.exe' /f /im Dbg64.exe
- '<SYSTEM32>\taskkill.exe' /f /im Dbg32.exe
- '<SYSTEM32>\taskkill.exe' /FI "IMAGENAME eq cheatengine*" /IM * /F /T
- '<SYSTEM32>\taskkill.exe' /FI "IMAGENAME eq processhacker*" /IM * /F /T
- '<SYSTEM32>\taskkill.exe' /f /im Themida64.exe
- '<SYSTEM32>\taskkill.exe' /f /im vgtray.exe
- '<SYSTEM32>\taskkill.exe' /f /im EpicGamesLauncher.exe
- '<SYSTEM32>\taskkill.exe' /f /im FortniteClient-Win64-Shipping.exe
- '<SYSTEM32>\taskkill.exe' /FI "IMAGENAME eq wireshark*" /IM * /F /T
- '<SYSTEM32>\taskkill.exe' /FI "IMAGENAME eq rawshark*" /IM * /F /T
- '<SYSTEM32>\taskkill.exe' /FI "IMAGENAME eq x64dbg*" /IM * /F /T
- '<SYSTEM32>\taskkill.exe' /FI "IMAGENAME eq x32dbg*" /IM * /F /T
- '<SYSTEM32>\taskkill.exe' /FI "IMAGENAME eq ollydbg*" /IM * /F /T
- '<SYSTEM32>\taskkill.exe' /FI "IMAGENAME eq fiddler*" /IM * /F /T
- '<SYSTEM32>\taskkill.exe' /FI "IMAGENAME eq charles*" /IM * /F /T
- '<SYSTEM32>\taskkill.exe' /FI "IMAGENAME eq ida*" /IM * /F /T
- '<SYSTEM32>\taskkill.exe' /FI "IMAGENAME eq die*" /IM * /F /T
- '<SYSTEM32>\taskkill.exe' /f /im x32dbg.exe
- '<SYSTEM32>\taskkill.exe' /f /im HTTPDebugger.exe
- '<SYSTEM32>\taskkill.exe' /f /im x64dbg.exe
- '<SYSTEM32>\taskkill.exe' /f /im HTTP Debugger Windows Service (32 bit).exe
- '<SYSTEM32>\taskkill.exe' /f /im KsDumper.exe
- '<SYSTEM32>\taskkill.exe' /f /im HTTPDebuggerUI.exe
- '<SYSTEM32>\taskkill.exe' /f /im HTTPDebuggerSvc.exe
- '<SYSTEM32>\taskkill.exe' /f /im ProcessHacker.exe
- '<SYSTEM32>\taskkill.exe' /f /im idaq.exe
- '<SYSTEM32>\taskkill.exe' /f /im idaq64.exe
- '<SYSTEM32>\taskkill.exe' /f /im Wireshark.exe
- '<SYSTEM32>\taskkill.exe' /f /im Fiddler.exe
- '<SYSTEM32>\taskkill.exe' /f /im FiddlerEverywhere.exe
- '<SYSTEM32>\taskkill.exe' /f /im Xenos64.exe
- '<SYSTEM32>\taskkill.exe' /f /im Xenos.exe
- '<SYSTEM32>\taskkill.exe' /f /im Xenos32.exe
- '<SYSTEM32>\taskkill.exe' /f /im de4dot.exe
- '<SYSTEM32>\taskkill.exe' /f /im Cheat Engine.exe
- '<SYSTEM32>\taskkill.exe' /f /im cheatengine-x86_64.exe
- '<SYSTEM32>\taskkill.exe' /f /im cheatengine-x86_64-SSE4-AVX2.exe
- '<SYSTEM32>\taskkill.exe' /f /im MugenJinFuu-x86_64-SSE4-AVX2.exe
- '<SYSTEM32>\taskkill.exe' /f /im MugenJinFuu-i386.exe
- '<SYSTEM32>\taskkill.exe' /f /im cheatengine-i386.exe
- '<SYSTEM32>\taskkill.exe' /f /im OllyDbg.exe
- '<SYSTEM32>\taskkill.exe' /f /im FolderChangesView.exe
Запускает большое число процессов
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'PROCEXPL', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- nul
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: '' WindowName: 'OllyDbg - [CPU]'
- ClassName: '' WindowName: 'Immunity Debugger - [CPU]'
- ClassName: 'dbgviewClass' WindowName: ''
- ClassName: 'XTPMainFrame' WindowName: ''
- ClassName: 'WdcWindow' WindowName: 'Resource Monitor'
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C taskkill /f /im Themida64.exe >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /f /im FolderChangesView.exe >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /f /im HTTPDebugger.exe >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq die*" /IM * /F /T >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C sc stop wireshark >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C sc stop KProcessHacker1 >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C sc stop KProcessHacker2 >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C sc stop KProcessHacker3 >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C sc stop HTTPDebuggerProSdk >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq ida*" /IM * /F /T >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq charles*" /IM * /F /T >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq fiddler*" /IM * /F /T >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq ollydbg*" /IM * /F /T >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq x32dbg*" /IM * /F /T >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq x64dbg*" /IM * /F /T >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq processhacker*" /IM * /F /T >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq httpdebugger*" /IM * /F /T >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq cheatengine*" /IM * /F /T >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C sc stop HTTPDebuggerPro >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /f /im Dbg32.exe >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /f /im Dbg64.exe >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /f /im OllyDbg.exe >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /f /im HTTPDebuggerSvc.exe >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /f /im HTTPDebuggerUI.exe >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq rawshark*" /IM * /F /T >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq wireshark*" /IM * /F /T >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /f /im Ida64.exe >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /f /im FortniteClient-Win64-Shipping.exe >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /f /im EpicGamesLauncher.exe >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /f /im vgtray.exe >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C sc stop HttpDebuggerSdk >nul 2>&1' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C sc stop npf >nul 2>&1' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im KsDumperClient.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /C taskkill /f /im EpicGamesLauncher.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /C taskkill /f /im FortniteClient-Win64-Shipping.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq wireshark*" /IM * /F /T >nul 2>&1
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq rawshark*" /IM * /F /T >nul 2>&1
- '<SYSTEM32>\cmd.exe' /C sc stop HTTPDebuggerPro >nul 2>&1
- '<SYSTEM32>\sc.exe' stop HTTPDebuggerPro
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq x64dbg*" /IM * /F /T >nul 2>&1
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq x32dbg*" /IM * /F /T >nul 2>&1
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq ollydbg*" /IM * /F /T >nul 2>&1
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq fiddler*" /IM * /F /T >nul 2>&1
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq charles*" /IM * /F /T >nul 2>&1
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq ida*" /IM * /F /T >nul 2>&1
- '<SYSTEM32>\cmd.exe' /C sc stop HTTPDebuggerProSdk >nul 2>&1
- '<SYSTEM32>\sc.exe' stop HTTPDebuggerProSdk
- '<SYSTEM32>\cmd.exe' /C sc stop KProcessHacker3 >nul 2>&1
- '<SYSTEM32>\sc.exe' stop KProcessHacker3
- '<SYSTEM32>\cmd.exe' /C sc stop KProcessHacker2 >nul 2>&1
- '<SYSTEM32>\sc.exe' stop KProcessHacker2
- '<SYSTEM32>\cmd.exe' /C sc stop KProcessHacker1 >nul 2>&1
- '<SYSTEM32>\sc.exe' stop KProcessHacker1
- '<SYSTEM32>\cmd.exe' /C sc stop wireshark >nul 2>&1
- '<SYSTEM32>\sc.exe' stop wireshark
- '<SYSTEM32>\cmd.exe' /C taskkill /FI "IMAGENAME eq die*" /IM * /F /T >nul 2>&1
- '<SYSTEM32>\cmd.exe' /C taskkill /f /im HTTPDebugger.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /C taskkill /f /im FolderChangesView.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /C sc stop HttpDebuggerSdk >nul 2>&1
- '<SYSTEM32>\sc.exe' stop HttpDebuggerSdk
- '<SYSTEM32>\cmd.exe' /C taskkill /f /im vgtray.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /C sc stop npf >nul 2>&1
- '<SYSTEM32>\cmd.exe' /C taskkill /f /im Themida64.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /FI "IMAGENAME eq cheatengine*" /IM * /F /T >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im KsDumper.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im HTTPDebuggerUI.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im HTTPDebuggerSvc.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im ProcessHacker.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im idaq.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im idaq64.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im Wireshark.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im Fiddler.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im FiddlerEverywhere.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im Xenos64.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im Xenos.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im Xenos32.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im de4dot.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im Cheat Engine.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im cheatengine-x86_64.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im cheatengine-x86_64-SSE4-AVX2.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im MugenJinFuu-x86_64-SSE4-AVX2.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im MugenJinFuu-i386.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im cheatengine-i386.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im HTTP Debugger Windows Service (32 bit).exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im OllyDbg.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im x64dbg.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im x32dbg.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /FI "IMAGENAME eq httpdebugger*" /IM * /F /T >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im Ida64.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im Dbg64.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im Dbg32.exe >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c taskkill /FI "IMAGENAME eq processhacker*" /IM * /F /T >nul 2>&1
- '<SYSTEM32>\sc.exe' stop npf
