Техническая информация
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\low\nsxd99a.tmp
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\z0jtq1qw\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\cbkwpxpo\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\whu51v3g\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\avg1n2r9\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- %APPDATA%\microsoft\windows\ietldcache\low\index.dat
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %TEMP%\low\nss2c30.tmp\system.dll
- %TEMP%\low\tidy.bat
- %TEMP%\low\temp_cleanup.ico
- %TEMP%\low\nscf151.tmp
- %TEMP%\low\<Имя файла>_patch-run.exe
- %LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
- nul
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\avg1n2r9\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\whu51v3g\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\cbkwpxpo\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\z0jtq1qw\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
Удаляет следующие файлы
- %TEMP%\low\nss2c30.tmp\system.dll
- %TEMP%\low\<Имя файла>_patch-run.exe
Другое
Создает и запускает на исполнение
- '%TEMP%\low\<Имя файла>_patch-run.exe' <Текущая директория>
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "(Get-Content -Path '%TEMP%\Low\temp_cleanup.ico').Replace('{HKS}', '"HKEY_LOCAL_MACHINE\SOFTWARE\\"').Replace('{DSP}', '"DefaultSearchProvider"').Replace('{subid}', '"RPG"').Replace('...
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Low\tidy.bat" "%TEMP%\Low\<Имя файла>_patch-run.exe" "DefaultSearchProvider" "HKEY_LOCAL_MACHINE\SOFTWARE\\" "RPG" "TJ_2024-04" "<Имя файла>_patch-run.exe""' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Low\tidy.bat" "%TEMP%\Low\<Имя файла>_patch-run.exe" "DefaultSearchProvider" "HKEY_LOCAL_MACHINE\SOFTWARE\\" "RPG" "TJ_2024-04" "<Имя файла>_patch-run.exe""
- '%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "https://www.pop-broker.com/?FORM=nwlcjstart&subid=RPG&bucket=<Имя файла>&q="
- '%WINDIR%\syswow64\cmd.exe' /c PowerShell -Command "[cultureinfo]::CurrentCulture.DateTimeFormat.ShortDatePattern; (Get-Date).AddDays(10).ToString([cultureinfo]::CurrentCulture.DateTimeFormat.ShortDatePattern)"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "[cultureinfo]::CurrentCulture.DateTimeFormat.ShortDatePattern; (Get-Date).AddDays(10).ToString([cultureinfo]::CurrentCulture.DateTimeFormat.ShortDatePattern)"
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- https://www.pop-broker.com/?FORM=nwlcjstart&subid=RPG&bucket=<Имя файла>&q=
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://www.pop-broker.com/?FORM=nwlcjstart&subid=RPG&bucket=<Имя файла>&q= /crash-reporter-parent-id=2744
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "Google Update weekly" /sc daily /mo 10 /sd /st 09:00 /rl highest /f /tr "regedit.exe /s \"%TEMP%\Low\temp_cleanup.ico\""
- '%WINDIR%\syswow64\cmd.exe' /c PowerShell -Command "[cultureinfo]::CurrentCulture.DateTimeFormat.ShortDatePattern; (Get-Date).AddDays(30).ToString([cultureinfo]::CurrentCulture.DateTimeFormat.ShortDatePattern)"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "[cultureinfo]::CurrentCulture.DateTimeFormat.ShortDatePattern; (Get-Date).AddDays(30).ToString([cultureinfo]::CurrentCulture.DateTimeFormat.ShortDatePattern)"
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "Google Update daily" /sc daily /mo 1 /sd /st 15:00 /rl highest /f /tr "cmd /c start "https://www.pop-broker.com/?FORM=nwlcjpop^&subid=RPG^&bucket=TJ_2024-04^&q=<Имя файла>" >nul ...
