Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'deletere' = 'SCHTASKS /delete /f /tn "resystem"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\resystem
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /IM /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM notice_center.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM notice_right.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM QQGame.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM QQGameWebServer.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM wps.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM wpscenter.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM Pic_2345Svc.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM 2345Explorer.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM Protect_2345Explorer.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM Pinyin_2345Svc.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM 2345PinyinCloud.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM qmbrowser.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM hardwarecheck.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM HardwarecheckBrowser.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM QQMusic.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM QQLive.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM QQLiveBrowser.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM QQLiveService.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM ГЏВІГ‚ГГЂВÑÅ.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM QyClient.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM QyFragment.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM QyPlayer.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM QyKernel.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM QiyiService.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM WinR.exe /T
Запускает большое число процессов
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nslbbfa.tmp
- <Текущая директория>\close2.exe
- <Текущая директория>\close2_x64.exe
- %TEMP%\syspin.exe
- %TEMP%\nsvbcd5.tmp\execcmd.dll
- nul
- %TEMP%\null
- %TEMP%\nsvbcd5.tmp\system.dll
Удаляет следующие системные файлы
- %WINDIR%\tasks\sa.dat
- <SYSTEM32>\tasks\adobe acrobat update task
- <SYSTEM32>\tasks\opera scheduled autoupdate 1723426318
Удаляет файлы, которые сам же создал
- <Текущая директория>\close2.exe
Сетевая активность
UDP
- DNS ASK ap#.msn.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: 'Progman' WindowName: ''
- ClassName: 'Proxy Desktop' WindowName: ''
- ClassName: 'ApplicationFrameWindow' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: 'BluetoothNotificationAreaIconWindowClass'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\close2_x64.exe'
- '%TEMP%\syspin.exe' "%APPDATA%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\QQÐâÐÐÐÐз.lnk" c:5387
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C @ping 127.0.0.1 -n 2 >nul (со скрытым окном)
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 2
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM notice_center.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM notice_right.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM QQGame.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM QQGameWebServer.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM wps.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM wpscenter.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM Pic_2345Svc.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM 2345Explorer.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM Protect_2345Explorer.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM Pinyin_2345Svc.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM 2345PinyinCloud.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM qmbrowser.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM hardwarecheck.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM HardwarecheckBrowser.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM QQMusic.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM QQLive.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM QQLiveBrowser.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C sc stop QQLiveService >> null (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' stop QQLiveService
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM QQLiveService.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM ÐÐÐÐÐâÐÂÐÐÐÂÐâÐâ¦.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM QyClient.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM QyFragment.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM QyPlayer.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM QyKernel.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM QiyiService.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "taskkill" /F /IM WinR.exe /T (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /rl HIGHEST /sc once /tn "resystem" /tr "cmd /c shutdown /r /f /t 0 " /st 02:36:33 (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /f /rl HIGHEST /sc once /tn "resystem" /tr "cmd /c shutdown /r /f /t 0 " /st 02:36:33
- '<SYSTEM32>\cmd.exe' /c gpupdate /force (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c bcdedit /timeout 6 (со скрытым окном)
- '<SYSTEM32>\gpupdate.exe' /force
- '<SYSTEM32>\bcdedit.exe' /timeout 6
- '<SYSTEM32>\cmd.exe' /c bcdedit /set {default} bootmenupolicy legacy (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' /set {default} bootmenupolicy legacy
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\cmd.exe' /c ping 127.0.0.1 -n 3&del /q "<Текущая директория>\close2_x64.exe" (со скрытым окном)
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 3
- '%WINDIR%\systemapps\microsoft.windows.search_cw5n1h2txyewy\searchapp.exe' -ServerName:CortanaUI.AppX8z9r6jm96hw4bsbneegw0kyxx296wr9t.mca
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
- '%TEMP%\syspin.exe' "%APPDATA%\Microsoft\Internet Explorer\Quick Launch\User Pinned\TaskBar\QQÐâÐÐÐÐз.lnk" c:5387 (со скрытым окном)
