Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\795870] 'ImagePath' = 'cmd /c start "" cmd /c start "" "%APPDATA%\AD2227FEAA\ebaf2690\7sag3323\svtkribss.exe" "208dc741" 1048 "%APPDATA%\AD2227FEAA\ebaf2...
Создает следующие сервисы
- '795870' cmd /c start "" cmd /c start "" "%APPDATA%\AD2227FEAA\ebaf2690\7sag3323\svtkribss.exe" "208dc741" 1048 "%APPDATA%\AD2227FEAA\ebaf2690\7sag3323\"
Вредоносные функции
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-l4bto.tmp\<Имя файла>.tmp
- %TEMP%\is-t2qen.tmp\_isetup\_setup64.tmp
- %APPDATA%\ad2227feaa\asgawaw2\asgsagw2\is-qljmn.tmp
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-56rs3.tmp
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-62u93.tmp
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-n6i5e.tmp
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-3g4rd.tmp
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-e5mig.tmp
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-musk8.tmp
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-3m648.tmp
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-dolog.tmp
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-sncit.tmp
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-89i16.tmp
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-7hlrt.tmp
- %HOMEPATH%\desktop\goog le.lnk
Удаляет следующие файлы
- %TEMP%\is-t2qen.tmp\_isetup\_setup64.tmp
- %TEMP%\is-l4bto.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- %APPDATA%\ad2227feaa\asgawaw2\asgsagw2\is-qljmn.tmp в %APPDATA%\ad2227feaa\asgawaw2\asgsagw2\3wgaw.exe
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-56rs3.tmp в %APPDATA%\ad2227feaa\ebaf2690\7sag3323\dfab9ef57ad7cd4b566b.42ee561
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-62u93.tmp в %APPDATA%\ad2227feaa\ebaf2690\7sag3323\glib-2.0-0.dll
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-n6i5e.tmp в %APPDATA%\ad2227feaa\ebaf2690\7sag3323\gmodule-2.0-0.dll
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-3g4rd.tmp в %APPDATA%\ad2227feaa\ebaf2690\7sag3323\gobject-2.0-0.dll
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-e5mig.tmp в %APPDATA%\ad2227feaa\ebaf2690\7sag3323\gwakghje.exe
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-musk8.tmp в %APPDATA%\ad2227feaa\ebaf2690\7sag3323\intl.dll
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-3m648.tmp в %APPDATA%\ad2227feaa\ebaf2690\7sag3323\pcre2-8.dll
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-dolog.tmp в %APPDATA%\ad2227feaa\ebaf2690\7sag3323\svtkribss.exe
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-sncit.tmp в %APPDATA%\ad2227feaa\ebaf2690\7sag3323\vcruntime140.dll
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-89i16.tmp в %APPDATA%\ad2227feaa\ebaf2690\7sag3323\vcruntime140_1.dll
- %APPDATA%\ad2227feaa\ebaf2690\7sag3323\is-7hlrt.tmp в %APPDATA%\ad2227feaa\ebaf2690\7sag3323\vmtools.dll
Сетевая активность
TCP
Другие
- '34.##9.100.209':443
Другое
Создает и запускает на исполнение
- '%TEMP%\is-l4bto.tmp\<Имя файла>.tmp' /SL5="$80170,23382356,827392,<Полный путь к файлу>"
- '%APPDATA%\ad2227feaa\ebaf2690\7sag3323\gwakghje.exe'
- '%APPDATA%\ad2227feaa\ebaf2690\7sag3323\svtkribss.exe' 4ecbd3142f9b075b 2040 "%APPDATA%\AD2227FEAA\ebaf2690\7sag3323\"
- '%APPDATA%\ad2227feaa\ebaf2690\7sag3323\svtkribss.exe' "208dc741" 1048 "%APPDATA%\AD2227FEAA\ebaf2690\7sag3323\"
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c start "" cmd /c start "" "%APPDATA%\AD2227FEAA\ebaf2690\7sag3323\svtkribss.exe" "208dc741" 1048 "%APPDATA%\AD2227FEAA\ebaf2690\7sag3323\"
- '<SYSTEM32>\cmd.exe' /c start "" "%APPDATA%\AD2227FEAA\ebaf2690\7sag3323\svtkribss.exe" "208dc741" 1048 "%APPDATA%\AD2227FEAA\ebaf2690\7sag3323\"
- '%APPDATA%\ad2227feaa\ebaf2690\7sag3323\gwakghje.exe' (со скрытым окном)
- '%WINDIR%\cyjfcqlau9rg\app-0.82.1\svtkribss.exe' (со скрытым окном)
