Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\cryptomindflowprox.url
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- noticed.com
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nst686.tmp
- %TEMP%\china.aspx
- %TEMP%\smile.aspx
- %TEMP%\justin.aspx
- %TEMP%\gaps.aspx
- %TEMP%\iii.aspx
- %TEMP%\mill.aspx
- %TEMP%\hypothesis.aspx
- %TEMP%\controversial.aspx
- %TEMP%\serious.aspx
- %TEMP%\stomach.aspx
- %TEMP%\gradually.aspx
- %TEMP%\insert.aspx
- %TEMP%\gains.aspx
- %TEMP%\finished.aspx
- %TEMP%\jets.aspx
- %TEMP%\wy.aspx
- %TEMP%\wheat.aspx
- %TEMP%\anne.aspx
- %TEMP%\shades.aspx
- %TEMP%\imagine.aspx
- %TEMP%\tom.aspx
- %TEMP%\favourites.aspx
- %TEMP%\reasons.aspx
- %TEMP%\segment.aspx
- %TEMP%\distant.aspx
- %TEMP%\physicians.aspx
- %TEMP%\biology.aspx
- %TEMP%\plate.aspx
- %TEMP%\scene.aspx
- %TEMP%\shipment.aspx
- %TEMP%\nsycbe.tmp\nsexec.dll
- %TEMP%\722105\noticed.com
- %TEMP%\oh
- %TEMP%\export
- %TEMP%\hunting
- %TEMP%\promises
- %TEMP%\captain
- %TEMP%\woman
- %TEMP%\infrared
- %TEMP%\improved
- %TEMP%\tanzania
- %TEMP%\retro
- %TEMP%\clay
- %TEMP%\lives
- %TEMP%\722105\n
- %LOCALAPPDATA%\cryptoflowmind elite innovations co\d
- %LOCALAPPDATA%\cryptoflowmind elite innovations co\cryptomindflowprox.com
- %LOCALAPPDATA%\cryptoflowmind elite innovations co\cryptomindflowprox.js
Удаляет следующие файлы
- %TEMP%\722105\n
Сетевая активность
UDP
- DNS ASK yR##########rPfteMXe.yRtSZrHZFUIvrPfteMXe
Другое
Создает и запускает на исполнение
- '%TEMP%\722105\noticed.com' n
- '%TEMP%\722105\noticed.com'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /k cmd < Biology.aspx & exit (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe'
- '%WINDIR%\syswow64\tasklist.exe'
- '%WINDIR%\syswow64\findstr.exe' /I "opssvc wrsa"
- '%WINDIR%\syswow64\findstr.exe' "SophosHealth nsWscSvc ekrn bdservicehost AvastUI AVGUI & if not errorlevel 1 Set yKUbhZYovXdXJvxkilPSvSKLanTByqZwmm=AutoIt3.exe & Set wjYafQyjoMtMQACeKtdwsFDBgKXJzoaX=.a3x & Set NmODrYEJchFOo...
- '%WINDIR%\syswow64\extrac32.exe' /Y Gains.aspx *.*
- '%WINDIR%\syswow64\findstr.exe' /V "Guam" Woman
- '%WINDIR%\syswow64\ping.exe' localhost -n 5
- '%WINDIR%\syswow64\cmd.exe' /k echo [InternetShortcut] > "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\CryptoMindFlowProX.url" & echo URL="%LOCALAPPDATA%\CryptoFlowMind Elite Innovations Co\CryptoMindFlowProX.j...
