Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\26732.bat
- %APPDATA%\microsoft\windows\start menu\programs\startup\nha.bat
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
блокирует:
- Компонент восстановления системы (SR)
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /t /im nordvpn.exe
- '<SYSTEM32>\taskkill.exe' /f /t /im brave.exe
- '<SYSTEM32>\taskkill.exe' /f /t /im mozilla.exe
- '<SYSTEM32>\taskkill.exe' /f /t /im chrome.exe
- '<SYSTEM32>\taskkill.exe' /f /t /im iexplore.exe
- '<SYSTEM32>\taskkill.exe' /f /t /im bing.exe
- '<SYSTEM32>\taskkill.exe' /f /t /im msedge
- '<SYSTEM32>\taskkill.exe' /f /t /im msbing.exe
- '<SYSTEM32>\taskkill.exe' /f /t /im mspaint.exe
- '<SYSTEM32>\taskkill.exe' /f /t /im notepad.exe
- '<SYSTEM32>\taskkill.exe' /F /T /IM wscript.exe
- '<SYSTEM32>\taskkill.exe' /f /t /im hl2.exe
- '<SYSTEM32>\taskkill.exe' /f /t /im python.exe
- '<SYSTEM32>\taskkill.exe' /f /t /im taskmgr.exe
- '<SYSTEM32>\taskkill.exe' /F /T /IM regedit.exe
- '<SYSTEM32>\taskkill.exe' /f /t /im csgo.exe
- '<SYSTEM32>\taskkill.exe' /f /t /im spotify.exe
- '<SYSTEM32>\taskkill.exe' /f /t /im windowsvpn.exe
- '<SYSTEM32>\taskkill.exe' /f /t /im protonvpn.exe
- '<SYSTEM32>\taskkill.exe' /f /t /im cyberghostvpn.exe
- '<SYSTEM32>\taskkill.exe' /f /t /im surfshark.exe
- '<SYSTEM32>\taskkill.exe' /f /t /im python3.exe
- '<SYSTEM32>\taskkill.exe' /F /IM explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\c14b.tmp\c14c.tmp\c14d.bat
- %WINDIR%\melterdl.vbs
- %WINDIR%\meltel.vbs
- %WINDIR%\t.vbs
- %WINDIR%\img.vbs
- %WINDIR%\spam.vbs
- %WINDIR%\wtf.bat
- %WINDIR%\shutdown.vbs
- %WINDIR%\tr.bat
- %WINDIR%\nn.vbs
- %WINDIR%\w.txt
- %WINDIR%\name.txt
- %WINDIR%\documents.txt
- %WINDIR%\downloads.txt
- %WINDIR%\videos.txt
- %WINDIR%\se.bat
- %WINDIR%\suicide.bat
- %WINDIR%\jtm.bat
- %WINDIR%\.kaiz.bat
- %WINDIR%\kaiz.bat
- %WINDIR%\te.bat
- %WINDIR%\s.vbs
- %WINDIR%\install.vbs
- %WINDIR%\overwrite.ps1
- %WINDIR%\user.txt
- %WINDIR%\ip.txt
- %WINDIR%\users.txt
- %WINDIR%\document.txt
- %WINDIR%\k.vbs
- %WINDIR%\msg.vbs
- %WINDIR%\full.bat
- %WINDIR%\cactus.vbs
- %WINDIR%\micro.vbs
- %WINDIR%\mico.vbs
- %WINDIR%\keys.vbs
- %WINDIR%\ther.vbs
- %WINDIR%\voix.vbs
- %WINDIR%\aok.vbs
- %WINDIR%\grosses.txt
- %WINDIR%\jpp.vbs
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "%WINDIR%\install.vbs"
- '<SYSTEM32>\wscript.exe' "%WINDIR%\voix.vbs"
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\C14B.tmp\C14C.tmp\C14D.bat <Полный путь к файлу>"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\C14B.tmp\C14C.tmp\C14D.bat <Полный путь к файлу>"
- '<SYSTEM32>\timeout.exe' /t 16
- '<SYSTEM32>\rundll32.exe' user32.dll, SwapMouseButton
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore" /v DisableSR /t REG_DWORD /d 1 /f
- '<SYSTEM32>\timeout.exe' /t 60
- '<SYSTEM32>\tree.com' %HOMEPATH%\Videos
- '<SYSTEM32>\tree.com' %HOMEPATH%\Downloads
- '<SYSTEM32>\netstat.exe' -anb
- '<SYSTEM32>\timeout.exe' /t 5
- '<SYSTEM32>\wscript.exe' "invisible.vbs" "grab.bat"
- '<SYSTEM32>\tree.com' %HOMEPATH%\Documents
- '<SYSTEM32>\net1.exe' user
- '<SYSTEM32>\net.exe' user
- '<SYSTEM32>\ipconfig.exe' /all
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore" /v DisableSR /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableTaskMgr /t REG_DWORD /d 1 /f
- '<SYSTEM32>\notepad.exe' "%WINDIR%\overwrite.ps1"
- '<SYSTEM32>\timeout.exe' /t 3
- '<SYSTEM32>\wscript.exe' "invisible.vbs" "suicide.bat"
