Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\net.exe' stop "AdobeARMservice"
- '%WINDIR%\syswow64\taskkill.exe' /f /im acrotray.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im armsvc.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im AGSService.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im AGMService.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\acrobat64temp\acrobat.dll
- %TEMP%\acrobat64temp\acrodistdll.dll
- %TEMP%\acrobat64temp\acrotray.exe
- %TEMP%\acrobat64temp\install.cmd
Удаляет следующие файлы
- <SYSTEM32>\tasks\adobe acrobat update task
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Перезапускает анализируемый образец
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Acrobat64Temp\install.cmd" "%InstChk%"" (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add "HKCU\SOFTWARE\Adobe\Adobe Acrobat\DC\AVGeneral" /f /v "bAcrobatRHPBottomBannerIPMEnabled" /t REG_DWORD /d "0" (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /delete /f /tn "AdobeGCInvoker-1.0" (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /delete /f /tn "Adobe Acrobat Update Task" (со скрытым окном)
- '%WINDIR%\syswow64\net1.exe' stop "AdobeARMservice"
- '%WINDIR%\syswow64\sc.exe' delete "AdobeARMservice" (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' config AGMService start= disabled (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' config AGSService start= disabled (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c FOR /f "tokens=2*" %i IN ('REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath') DO IF EXIST %j (REN "%j\plug_ins\Updater.api" "Updater.bak") (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath
- '%WINDIR%\syswow64\reg.exe' QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath
- '%WINDIR%\syswow64\cmd.exe' /c FOR /f "tokens=2*" %i IN ('REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath') DO IF EXIST %j (REN "%j\Acrobat.dll" "Acrobat.dll.bak") (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c FOR /f "tokens=2*" %i IN ('REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath') DO IF EXIST %j (COPY /y "%TEMP%\Acrobat64Temp\Acrobat.dll" "%j\Acrobat.dll") (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c FOR /f "tokens=2*" %i IN ('REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath') DO IF EXIST %j (REN "%j\acrodistdll.dll" "acrodistdll.dll.bak") (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c FOR /f "tokens=2*" %i IN ('REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath') DO IF EXIST %j (COPY /y "%TEMP%\Acrobat64Temp\acrodistdll.dll" "%j\acrodistdll.dll") (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c FOR /f "tokens=2*" %i IN ('REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath') DO IF EXIST %j (REN "%j\acrotray.exe" "acrotray.exe.bak") (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c FOR /f "tokens=2*" %i IN ('REG QUERY "HKLM\SOFTWARE\Adobe\Acrobat Distiller\DC" /v InstallPath') DO IF EXIST %j (COPY /y "%TEMP%\Acrobat64Temp\acrotray.exe" "%j\acrotray.exe") (со скрытым окном)
- '%WINDIR%\syswow64\net.exe' stop "AdobeARMservice" (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im acrotray.exe (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im armsvc.exe (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im AGSService.exe (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im AGMService.exe (со скрытым окном)
