Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /IM "taskhost.exe"* /F
- '%WINDIR%\syswow64\taskkill.exe' /IM "iexplore.exe"* /F
- '%WINDIR%\syswow64\taskkill.exe' /IM "firefox.exe"* /F
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\microsoft\search\data\applications\windows\projects\systemindex\secstore\data\purged\info\lsass.exe
- %ALLUSERSPROFILE%\microsoft\search\data\applications\windows\projects\systemindex\secstore\data\purged\info\svchost.bat
- %TEMP%\prbkrigr.0.cs
- %TEMP%\prbkrigr.cmdline
- %TEMP%\prbkrigr.out
- %TEMP%\csc93e5.tmp
- %TEMP%\res93f6.tmp
- %TEMP%\prbkrigr.dll
- %TEMP%\t0hltkzq.0.cs
- %TEMP%\t0hltkzq.cmdline
- %TEMP%\t0hltkzq.out
- %TEMP%\csc9dc4.tmp
- %TEMP%\res9de5.tmp
- %TEMP%\t0hltkzq.dll
- nul
Присваивает атрибут 'скрытый' для следующих файлов
- %ALLUSERSPROFILE%\microsoft\search\data\applications\windows\projects\systemindex\secstore\data\purged\info\lsass.exe
- %ALLUSERSPROFILE%\microsoft\search\data\applications\windows\projects\systemindex\secstore\data\purged\info\svchost.bat
Удаляет следующие файлы
- %TEMP%\res93f6.tmp
- %TEMP%\csc93e5.tmp
- %TEMP%\prbkrigr.pdb
- %TEMP%\prbkrigr.out
- %TEMP%\prbkrigr.cmdline
- %TEMP%\prbkrigr.dll
- %TEMP%\prbkrigr.0.cs
- %TEMP%\res9de5.tmp
- %TEMP%\csc9dc4.tmp
- %TEMP%\t0hltkzq.pdb
- %TEMP%\t0hltkzq.0.cs
- %TEMP%\t0hltkzq.dll
- %TEMP%\t0hltkzq.out
- %TEMP%\t0hltkzq.cmdline
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\microsoft\search\data\applications\windows\projects\systemindex\secstore\data\purged\info\lsass.exe'
- '%WINDIR%\microsoft.net\framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\prbkrigr.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES93F6.tmp" "%TEMP%\CSC93E5.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\t0hltkzq.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9DE5.tmp" "%TEMP%\CSC9DC4.tmp"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\Microsoft\Search\Data\Applications\Windows\Projects\SystemIndex\SecStore\data\purged\info\svchost.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c TASKLIST /FI "USERNAME eq kgnmtve\user" /FI "STATUS eq running" | findstr /VI "adminservice applicationframehost audiodg cmd conhost csrss dashost dllhost dwm explorer fontdrvhost lms lsass ...
- '%WINDIR%\syswow64\findstr.exe' /I "Kalheila*"
- '%WINDIR%\syswow64\findstr.exe' /I "Discord*"
- '%WINDIR%\syswow64\findstr.exe' /I "ToDesk_*"
- '%WINDIR%\syswow64\findstr.exe' /I "Ultra*"
- '%WINDIR%\syswow64\findstr.exe' /I "Sun*"
- '%WINDIR%\syswow64\findstr.exe' /I "LogMe*"
- '%WINDIR%\syswow64\findstr.exe' /I "Team*"
- '%WINDIR%\syswow64\timeout.exe' /T 1 /NOBREAK
- '%WINDIR%\syswow64\findstr.exe' /I "ToDesk*"
- '%WINDIR%\syswow64\tasklist.exe'
- '%WINDIR%\syswow64\sc.exe' config "todesk_service" start=disabled
- '%WINDIR%\syswow64\net1.exe' FILE
- '%WINDIR%\syswow64\net.exe' FILE
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9DE5.tmp" "%TEMP%\CSC9DC4.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\t0hltkzq.cmdline"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES93F6.tmp" "%TEMP%\CSC93E5.tmp"
- '%WINDIR%\microsoft.net\framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\prbkrigr.cmdline"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy UnRestricted -Command "(Add-Type -memberDefinition \"[DllImport(\"\"user32.dll\"\")] public static extern bool SetWindowPos(IntPtr hWnd, IntPtr hWndInsertAfter, int x,int y,int...
- '%WINDIR%\syswow64\tasklist.exe' /FI "USERNAME eq kgnmtve\user" /FI "STATUS eq running"
- '%WINDIR%\syswow64\findstr.exe' /VI "adminservice applicationframehost audiodg cmd conhost csrss dashost dllhost dwm explorer fontdrvhost lms lsass microsoft nssm nvcontainer nvidia registry runtime runtimebroker searchhost s...
