Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
Запускает большое число процессов
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\mywinformsapp.pdb
- %TEMP%\rarsfx0\mywinformsapp.runtimeconfig.json
- %TEMP%\rarsfx0\oboi.bat
- %TEMP%\rarsfx0\papki.bat
- %TEMP%\rarsfx0\program.cs
- %TEMP%\rarsfx0\readme.txt
- %TEMP%\rarsfx0\start.bat
- %TEMP%\rarsfx0\start.vbs
- %TEMP%\rarsfx0\1.jpg
- %TEMP%\rarsfx0\1.mp3
- %TEMP%\rarsfx0\1.png
- %TEMP%\rarsfx0\2.bat
- %TEMP%\rarsfx0\4.bat
- %TEMP%\rarsfx0\21.vbs
- %TEMP%\rarsfx0\23.bat
- %TEMP%\rarsfx0\23.vbs
- %TEMP%\rarsfx0\32.vbs
- %TEMP%\rarsfx0\45.bat
- %TEMP%\rarsfx0\46.vbs
- %TEMP%\rarsfx0\111.exe
- %TEMP%\rarsfx0\123.mp3
- %TEMP%\rarsfx0\123.vbs
- %TEMP%\rarsfx0\222.jpg
- %TEMP%\rarsfx0\234.mp3
- %TEMP%\rarsfx0\345.vbs
- %TEMP%\rarsfx0\555.csproj
- %TEMP%\rarsfx0\555.csproj.user
- %TEMP%\rarsfx0\555.deps.json
- %TEMP%\rarsfx0\555.dll
- %TEMP%\rarsfx0\555.exe
- %TEMP%\rarsfx0\555.pdb
- %TEMP%\rarsfx0\555.runtimeconfig.json
- %TEMP%\rarsfx0\666.exe
- %TEMP%\rarsfx0\777.deps.json
- %TEMP%\rarsfx0\777.dll
- %TEMP%\rarsfx0\777.exe
- %TEMP%\rarsfx0\777.pdb
- %TEMP%\rarsfx0\777.runtimeconfig.json
- %TEMP%\rarsfx0\fgfg.jpg
- %TEMP%\rarsfx0\imagedisplayapp.deps.json
- %TEMP%\rarsfx0\imagedisplayapp.dll
- %TEMP%\rarsfx0\imagedisplayapp.pdb
- %TEMP%\rarsfx0\imagedisplayapp.runtimeconfig.json
- %TEMP%\rarsfx0\mgr.bat
- %TEMP%\rarsfx0\mywinformsapp.deps.json
- %TEMP%\rarsfx0\mywinformsapp.dll
- C:\1.png
- %LOCALAPPDATA%\microsoft\windows media\12.0\wmsdkns.xml
- %LOCALAPPDATA%\microsoft\windows media\12.0\wmsdkns.dtd
- %LOCALAPPDATA%\microsoft\windows media\12.0\wmsdkns.xml.bak
- %LOCALAPPDATA%\microsoft\windows media\12.0\wmsdknsd.xml
- nul
Удаляет файлы, которые сам же создал
- %LOCALAPPDATA%\microsoft\windows media\12.0\wmsdkns.xml.bak
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'WMPlayerApp' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\RarSFX0\start.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\RarSFX0\21.vbs"
- '%TEMP%\rarsfx0\666.exe'
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\RarSFX0\32.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\RarSFX0\23.vbs"
- '%TEMP%\rarsfx0\555.exe'
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\RarSFX0\123.vbs"
- '%TEMP%\rarsfx0\111.exe' // ╨ÐÑ╨▒╨╡╨┤╨╕╤Щ╨╡╤ÐÑ╤Ю, ╤Ч╤Щ╨╛ ╨┐╤ÐÑ╤Щ╤Ю ╨║ 111.exe ╨┐╤Ðâ¡╨░╨▓╨╕╨╗╤Ю╨╜╤ÐÐ╨╣
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\RarSFX0\345.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\RarSFX0\46.vbs"
- '%TEMP%\rarsfx0\777.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\start.bat" " (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /K mgr.bat
- '%WINDIR%\syswow64\cmd.exe' /K 23.bat
- '%WINDIR%\syswow64\cmd.exe' /K papki.bat
- '%WINDIR%\syswow64\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v DisableTaskMgr /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\timeout.exe' /t 80 /nobreak
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\45.bat" " (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\2.bat" " (со скрытым окном)
- '%WINDIR%\syswow64\timeout.exe' /t 1 /nobreak
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\4.bat" " (со скрытым окном)
- '%WINDIR%\syswow64\timeout.exe' /t 100 /nobreak
- '%WINDIR%\syswow64\timeout.exe' /t 20 /nobreak
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
