Техническая информация
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\documents\unzip.exe
- C:\users\public\documents\server.dat
- C:\users\public\documents\power.jar
- C:\users\public\documents\filesmasher.exe
- C:\users\public\documents\server.vbe
- C:\users\public\documents\unzip.dat
- C:\users\public\documents\unzip.lnk
- C:\users\public\documents\server.log
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\windows updata-cev-2020-0796ГГГГГГГГГГГГГГГГГГГГГГГГГГГГГГГГГГГГ.vbe
Присваивает атрибут 'скрытый' для следующих файлов
- C:\users\public\documents\power.jar
- C:\users\public\documents\filesmasher.exe
- C:\users\public\documents\server.vbe
- C:\users\public\documents\unzip.dat
- C:\users\public\documents\unzip.lnk
- C:\users\public\documents\server.log
- C:\users\public\documents\server.dat
- C:\users\public\documents\unzip.exe
Удаляет следующие файлы
- C:\users\public\documents\server.vbe
- C:\users\public\documents\unzip.lnk
- C:\users\public\documents\server.dll
- C:\users\public\documents\unzip.dat
Самоудаляется.
Сетевая активность
Подключается к
- '10#.#1.152.68':1000
TCP
Другие
- '10#.#1.152.68':1000
Другое
Ищет следующие окна
- ClassName: 'CTXOPConntion_Class' WindowName: ''
Создает и запускает на исполнение
- 'C:\users\public\documents\unzip.exe' -o -P Server8888 C:/Users/Public/Documents/Server.dat -d C:/Users/Public/Documents
- '%WINDIR%\syswow64\wscript.exe' "C:\Users\Public\Documents\Server.vbe"
- 'C:\users\public\documents\filesmasher.exe' power.jar power
- 'C:\users\public\documents\unzip.exe' -o -P Startup8888 C:\Users\Public\Documents\unzip.dat -d "%ALLUSERSPROFILE%"
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c attrib C:/Users/Public/Documents/unzip.exe +s +h (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c attrib C:/Users/Public/Documents/Server.dat +s +h (со скрытым окном)
- '%WINDIR%\syswow64\attrib.exe' C:/Users/Public/Documents/Server.dat +s +h
- '%WINDIR%\syswow64\attrib.exe' C:/Users/Public/Documents/unzip.exe +s +h
- '%WINDIR%\syswow64\cmd.exe' /c del /q <Полный путь к файлу> (со скрытым окном)
- 'C:\users\public\documents\unzip.exe' -o -P Server8888 C:/Users/Public/Documents/Server.dat -d C:/Users/Public/Documents (со скрытым окном)
- '%WINDIR%\syswow64\wscript.exe' "C:\Users\Public\Documents\Server.vbe" (со скрытым окном)
- 'C:\users\public\documents\filesmasher.exe' power.jar power (со скрытым окном)
