Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /F /IM Iris.exe
- '<SYSTEM32>\taskkill.exe' /F /IM commview.exe
- '<SYSTEM32>\taskkill.exe' /F /IM WPE PRO.exe
- '<SYSTEM32>\taskkill.exe' /F /IM WPE.exe
- '<SYSTEM32>\taskkill.exe' /F /IM iptools.exe
- '<SYSTEM32>\net.exe' stop iisadmin /y
- '<SYSTEM32>\net1.exe' stop iisadmin /y
- '<SYSTEM32>\taskkill.exe' /F /IM PackAssist.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ═°┬ч╖т░№╜╪╚б╞ў.exe
- '<SYSTEM32>\findstr.exe' /i /c:"127.0.0.1 www.10###nfa.com" <DRIVERS>\etc\hosts
- '<SYSTEM32>\taskkill.exe' /F /IM server.dat
- '<SYSTEM32>\findstr.exe' /i /c:"127.0.0.1 localhost" <DRIVERS>\etc\hosts
- '<SYSTEM32>\findstr.exe' /i /c:"127.0.0.1 www.xf##z.com" <DRIVERS>\etc\hosts
- '<SYSTEM32>\taskkill.exe' /F /IM server.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Skype.exe
- '<SYSTEM32>\taskkill.exe' /F /IM SockMon5.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Thunder5.exe
- '<SYSTEM32>\taskkill.exe' /F /IM WebThunder.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- skype.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\2831.bat
Присваивает атрибут 'скрытый' для следующих файлов:
- %TEMP%\2831.bat
Изменяет файл HOSTS.
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
- ClassName: '(null)' WindowName: '(null)'
