Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\aact
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\aact.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\aact.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\aact.exe
- %APPDATA%\microsoft\windows\start menu\programs\aact - kms-activator.lnk
- %WINDIR%\aact.xml
Удаляет следующие файлы
- %WINDIR%\aact.exe
- %WINDIR%\aact.xml
Сетевая активность
Подключается к
- '12#.0.0.2':1688
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\aact.exe' /ofs=act /taskofs /taskwin /ru
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c schtasks.exe /end /TN AAct (со скрытым окном)
- '<SYSTEM32>\cscript.exe' "%ProgramFiles%\Microsoft Office\Office14\OSPP.VBS" //NoLogo /setprt:1688
- '<SYSTEM32>\cmd.exe' /c cscript.exe "%ProgramFiles%\Microsoft Office\Office14\OSPP.VBS" //NoLogo /setprt:1688 (со скрытым окном)
- '<SYSTEM32>\cscript.exe' "%ProgramFiles%\Microsoft Office\Office14\OSPP.VBS" //NoLogo /sethst:12#.0.0.2
- '<SYSTEM32>\cmd.exe' /c cscript.exe "%ProgramFiles%\Microsoft Office\Office14\OSPP.VBS" //NoLogo /sethst:12#.0.0.2 (со скрытым окном)
- '<SYSTEM32>\cscript.exe' "%ProgramFiles%\Microsoft Office\Office14\OSPP.VBS" //NoLogo /remhst
- '<SYSTEM32>\cmd.exe' /c cscript.exe "%ProgramFiles%\Microsoft Office\Office14\OSPP.VBS" //NoLogo /remhst (со скрытым окном)
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\FirewallControlPanel.dll,ShowNotificationDialog /configure /ETOnly 0 /OnProfiles 6 /OtherAllowed 0 /OtherBlocked 0 /OtherEdgeAllowed 0 /NewBlocked 4 "%WINDIR%\aact.exe"
- '<SYSTEM32>\ipconfig.exe' /flushdns
- '<SYSTEM32>\cmd.exe' /c ipconfig.exe /flushdns (со скрытым окном)
- '<SYSTEM32>\net1.exe' start osppsvc
- '<SYSTEM32>\net.exe' start osppsvc
- '<SYSTEM32>\cmd.exe' /c net.exe start osppsvc (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /TN AAct /XML %WINDIR%\AAct.xml
- '<SYSTEM32>\cmd.exe' /c schtasks.exe /create /TN AAct /XML %WINDIR%\AAct.xml (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /delete /TN AAct /F
- '<SYSTEM32>\cmd.exe' /c schtasks.exe /delete /TN AAct /F (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /end /TN AAct
- '<SYSTEM32>\cmd.exe' /c cscript.exe "%ProgramFiles%\Microsoft Office\Office14\OSPP.VBS" //NoLogo /act (со скрытым окном)
- '<SYSTEM32>\cscript.exe' "%ProgramFiles%\Microsoft Office\Office14\OSPP.VBS" //NoLogo /act
