Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\procs
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- ijbfo.exe
- procs.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\kumpe.bat
- %TEMP%\ijbfo.sfx.exe
- %TEMP%\ijbfo.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\ijbfo.exe.log
- %APPDATA%\procs.exe
- %TEMP%\tmp5c3a.tmp.bat
- nul
- %LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\procs.exe.log
Другое
Ищет следующие окна
- ClassName: 'OleMainThreadWndClass' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\ijbfo.sfx.exe' -pilgnswyhdnsdkuncgscvmhjfjgBbsdirhndmkaloyrhnlyunhlndfdyehngfszafugyRfvbghnJyN -d%LOCALAPPDATA%\Temp
- '%TEMP%\ijbfo.exe'
- '%APPDATA%\procs.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\kumpe.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "procs" /tr '"%APPDATA%\procs.exe"' & exit (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\tmp5C3A.tmp.bat""
- '%WINDIR%\syswow64\timeout.exe' 3
- '%WINDIR%\syswow64\schtasks.exe' /create /f /sc onlogon /rl highest /tn "procs" /tr '"%APPDATA%\procs.exe"'
