Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%CommonProgramFiles%\Rar.exe' x -p101112 slx.zx /y
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /F /IM kxetray.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avgwdsvc.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avgtray.exe
- '<SYSTEM32>\taskkill.exe' /F /IM kwsmain.exe
- '<SYSTEM32>\taskkill.exe' /F /IM KSafeTray.exe
- '<SYSTEM32>\taskkill.exe' /F /IM KSafe.exe
- '<SYSTEM32>\taskkill.exe' /F /IM kismain.exe
- '<SYSTEM32>\taskkill.exe' /F /IM RsTray.exe
- '<SYSTEM32>\taskkill.exe' /F /IM RsMgrSvc.exe
- '<SYSTEM32>\taskkill.exe' /F /IM RavMonD.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avgchsvx.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avgcsrvx.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avgrsx.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avgnsx.exe
- '<SYSTEM32>\taskkill.exe' /F /IM upsvc.exe
- '<SYSTEM32>\taskkill.exe' /F /IM 3389.exe
- '<SYSTEM32>\taskkill.exe' /F /IM 2.exe
- '<SYSTEM32>\taskkill.exe' /F /IM 1.exe
- '<SYSTEM32>\taskkill.exe' /F /IM 3306.exe
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 55
- '<SYSTEM32>\ftp.exe' -s:cmd.txt
- '<SYSTEM32>\taskkill.exe' /F /IM s.exe
- '<SYSTEM32>\taskkill.exe' /F /IM kxescore.exe
- '<SYSTEM32>\taskkill.exe' /F /IM knsdave.exe
- '<SYSTEM32>\taskkill.exe' /F /IM kisuisp.exe
- '<SYSTEM32>\taskkill.exe' /F /IM kxesapp.exe
- '<SYSTEM32>\taskkill.exe' /F /IM 445.exe
- '<SYSTEM32>\taskkill.exe' /F /IM 1433.exe
- '<SYSTEM32>\taskkill.exe' /F /IM 135.exe
- '<SYSTEM32>\taskkill.exe' /F /IM knsdsvc.exe
- '<SYSTEM32>\net1.exe' STOP "Rav Service"
- '<SYSTEM32>\net.exe' STOP "Rav Service"
- '<SYSTEM32>\net1.exe' STOP "ESET Service"
- '<SYSTEM32>\net.exe' STOP "Rsd Service"
- '<SYSTEM32>\net.exe' STOP RsMgrSvc
- '<SYSTEM32>\net1.exe' STOP "Rsd Service"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\7ZSfx000.cmd" "
- '<SYSTEM32>\net.exe' stop sharedaccess
- '<SYSTEM32>\cmd.exe' /c ""%CommonProgramFiles%\slx.bat" "
- '<SYSTEM32>\wscript.exe' "%CommonProgramFiles%\985.VBE"
- '<SYSTEM32>\net1.exe' stop sharedaccess
- '<SYSTEM32>\net.exe' STOP "ESET Service"
- '<SYSTEM32>\net1.exe' STOP "ESET HTTP Server"
- '<SYSTEM32>\net.exe' STOP "ESET HTTP Server"
- '<SYSTEM32>\net1.exe' STOP RsMgrSvc
- '<SYSTEM32>\taskkill.exe' /F /IM 360Safe.exe
- '<SYSTEM32>\taskkill.exe' /F /IM 360tray.exe
- '<SYSTEM32>\taskkill.exe' /F /IM 360rp.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ZhuDongFangYu.exe
- '<SYSTEM32>\taskkill.exe' /F /IM knsdtray.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ekrn.exe
- '<SYSTEM32>\taskkill.exe' /F /IM egui.exe
- '<SYSTEM32>\net.exe' STOP ekrn
- '<SYSTEM32>\net1.exe' STOP RsRavMon
- '<SYSTEM32>\net.exe' STOP RsRavMon
- '<SYSTEM32>\net1.exe' STOP ekrn
- '<SYSTEM32>\taskkill.exe' /F /IM 360sd.exe
- '<SYSTEM32>\net1.exe' STOP EhttpSrv
- '<SYSTEM32>\net.exe' STOP EhttpSrv
Завершает или пытается завершить
следующие пользовательские процессы:
- ekrn.exe
- 360tray.exe
Изменения в файловой системе:
Создает следующие файлы:
- %CommonProgramFiles%\mxmz.php
- %CommonProgramFiles%\cmd.txt
- %CommonProgramFiles%\mxqb.php
- %CommonProgramFiles%\mxxke.php
- %TEMP%\7ZSfx000.cmd
- %CommonProgramFiles%\slx.zx
- %CommonProgramFiles%\985.VBE
- %CommonProgramFiles%\slx.bat
- %CommonProgramFiles%\Rar.exe
Удаляет следующие файлы:
- %CommonProgramFiles%\985.VBE
- %TEMP%\7ZSfx000.cmd
- %CommonProgramFiles%\Rar.exe
- %CommonProgramFiles%\slx.zx
Перемещает следующие файлы:
- %CommonProgramFiles%\mxqb.php в %CommonProgramFiles%\mxbq.exe
- %CommonProgramFiles%\mxxke.php в %CommonProgramFiles%\mxekx.exe
- %CommonProgramFiles%\mxmz.php в %CommonProgramFiles%\mxzm.exe
Самоудаляется.
Сетевая активность:
Подключается к:
- 'xi####.xuebu.net':21
- 'localhost':1039
UDP:
- DNS ASK xi####.xuebu.net
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
