Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' -f -im cmd.exe
- '%WINDIR%\syswow64\taskkill.exe' -f -im i.exe -im i1.exe -im i2.exe -im i3.exe -im i4.exe -im i5.exe -im i6.exe -im i7.exe -im i8.exe -im q.exe -im q1.exe -im q2.exe -im q3.exe -im q4.exe -im r.exe
- '%WINDIR%\syswow64\taskkill.exe' -f -im dg.exe -im thin.exe -im Taskmgr.exe -im psftp.exe -im browser.exe -im fc.exe -im p1.exe -im p2.exe -im p3.exe -im p5.exe -im p6.exe -im p8.exe -im p4.exe -im p7.exe -im GCC.exe
- '%WINDIR%\syswow64\taskkill.exe' -f -im "procexp*"
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\syswow64\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- C:\intel\logs\ant.bat
- C:\intel\logs\thin.exe
- C:\intel\dg.bat
- C:\intel\s1.rar
- C:\intel\logs\p1.bat
- C:\intel\logs\vc.rar
- C:\intel\logs\nc.rar
- C:\intel\m4.rar
Присваивает атрибут 'скрытый' для следующих файлов
- C:\intel\logs\ant.bat
- C:\intel\dg.bat
- C:\intel\m4.rar
Удаляет следующие файлы
- C:\intel\logs\vc.rar
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- 'C:\intel\logs\thin.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C taskkill -f -im cmd.exe (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C cd /D "C:\Intel\"&if exist c.bat (taskkill -f -im xrm.exe -im nmb.exe -im txr.exe -im llm.exe -im wmr.exe -im r.exe -im dg.exe -im ping.exe) (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C taskkill -f -im i.exe -im i1.exe -im i2.exe -im i3.exe -im i4.exe -im i5.exe -im i6.exe -im i7.exe -im i8.exe -im q.exe -im q1.exe -im q2.exe -im q3.exe -im q4.exe -im r.exe (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C cd /D "C:\Intel\"&if exist c.bat (if exist c.vbs (start "" c.vbs c.bat)) (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C cd /D "C:\Intel\"&if exist c.bat (if not exist c.vbs (start "" /wait c.bat)) (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C cd /D "C:\Intel\"&if not exist c.bat (sc start dg) (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' start dg
- '%WINDIR%\syswow64\cmd.exe' /C cd /D "C:\Intel\"&if not exist c.bat (if exist dg.bat (if exist c.vbs (start "" c.vbs dg.bat))) (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C cd /D "C:\Intel\"&if not exist c.bat (if exist dg.bat (if not exist c.vbs (start "" /wait dg.bat))) (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /K dg.bat
- '%WINDIR%\syswow64\chcp.com' 65001
- '%WINDIR%\syswow64\attrib.exe' +r +a +s +h +i "C:\Intel\err-rx\"
- '<SYSTEM32>\wbem\wmic.exe' process where name="cmd.exe" CALL setpriority "Below Normal"
- '<SYSTEM32>\wbem\wmic.exe' process where name="conhost.exe" CALL setpriority "Below Normal"
