Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Set-ExecutionPolicy Unrestricted ; add-MpPreference -ExclusionPath %ALLUSERSPROFILE%,C:\Users\Public\Documents,'C:\Program Files (x86)','C:\Program Files','C:\Users\Public\Videos','C:...
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "Set-ExecutionPolicy Unrestricted ; add-MpPreference -ExclusionPath "C:\Users\Public\Music","C:\Users\Public\Videos","%ALLUSERSPROFILE%","C:\Users\Public\Documents",'C:\Users\Public\Do...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-22u1uqkvwr.tmp\<Имя файла>.tmp
- %TEMP%\is-f8jnlomjup.tmp\_isetup\_setup64.tmp
- %APPDATA%\cm_juikukku5723\ca658\64997c6ce\dad11c2770\02da79a\5c68128\is-wjwzqdkl9w.tmp
- C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\is-nfdf7cxk0g.tmp
- C:\users\public\documents\is-zsbmyvakd1.tmp
- C:\users\public\documents\is-sl0h57mvd6.tmp
- C:\users\public\documents\is-e0ubdgahqs.tmp
- C:\users\public\documents\is-0gxwwj47xy.tmp
- C:\users\public\documents\is-qsyxl0pb2q.tmp
- C:\users\public\documents\is-0drs4e6bof.tmp
- C:\users\public\documents\is-fvf2qe9fga.tmp
- %ALLUSERSPROFILE%\is-6mczh4l01l.tmp
- %ALLUSERSPROFILE%\is-aeuvifu2bi.tmp
- %ALLUSERSPROFILE%\is-kzlgoqtw4d.tmp
- %ALLUSERSPROFILE%\is-bmo3daxjyw.tmp
- C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\is-ypg4vqid74.tmp
- C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\is-1pt2huxyaj.tmp
- C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\is-h9opedk24f.tmp
- C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\is-l6lrcvxojn.tmp
- C:\users\public\documents\is-soijym2rrl.tmp
- C:\users\public\documents\is-vsg055zzae.tmp
- C:\users\public\documents\is-paklc9b5be.tmp
- C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\is-2aue4scueh.tmp
- C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\is-894gnhj4g3.tmp
- C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\is-0zts8qxlky.tmp
- %APPDATA%\cm_juikukku5723\bd2c55\c7c46\218d88\d1c7b8\1408e593\is-z5n6xpzg3w.tmp
- C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\dll1.dll
- C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\libcef.dll
- C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\agnisubmak.exe
- C:\users\public\documents\dll1.dll
- C:\users\public\documents\libcef.dll
- C:\users\public\documents\taskload.exe
- C:\users\public\pictures\consys21.png
- %ALLUSERSPROFILE%\yybabadefcde.dat
- C:\$recylle.bin\torchwooc
- C:\users\public\pictures\consysfun.png
- C:\users\public\documents\install.ini
- C:\users\public\videos\install.ini
- C:\users\public\pictures\install.ini
- %ALLUSERSPROFILE%\cba.bat
- C:\users\public\documents\recslle.bin\system\update.ini
- %ALLUSERSPROFILE%\a.ini
- %ALLUSERSPROFILE%\dx.vbs
- %ALLUSERSPROFILE%\l.dll
- %ALLUSERSPROFILE%\agghosts.exe
- %ALLUSERSPROFILE%\vcruntime140.dll
- %ALLUSERSPROFILE%\_3.dll
- %ALLUSERSPROFILE%\dll1.dll
Удаляет файлы, которые сам же создал
- %TEMP%\is-f8jnlomjup.tmp\_isetup\_setup64.tmp
- %TEMP%\is-22u1uqkvwr.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- %APPDATA%\cm_juikukku5723\ca658\64997c6ce\dad11c2770\02da79a\5c68128\is-wjwzqdkl9w.tmp в %APPDATA%\cm_juikukku5723\ca658\64997c6ce\dad11c2770\02da79a\5c68128\e3aa5aca0f27af6afbe936.2dc
- C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\is-nfdf7cxk0g.tmp в C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\ws_log.dll
- C:\users\public\documents\is-zsbmyvakd1.tmp в C:\users\public\documents\ws_log.dll
- C:\users\public\documents\is-sl0h57mvd6.tmp в C:\users\public\documents\instal.ini
- C:\users\public\documents\is-e0ubdgahqs.tmp в C:\users\public\documents\_8
- C:\users\public\documents\is-0gxwwj47xy.tmp в C:\users\public\documents\ins.ini
- C:\users\public\documents\is-qsyxl0pb2q.tmp в C:\users\public\documents\fouriertransformlib8.dll
- C:\users\public\documents\is-0drs4e6bof.tmp в C:\users\public\documents\imagerestorelib8.dll
- C:\users\public\documents\is-fvf2qe9fga.tmp в C:\users\public\documents\wavelet_3_8.dll
- %ALLUSERSPROFILE%\is-6mczh4l01l.tmp в %ALLUSERSPROFILE%\44
- %ALLUSERSPROFILE%\is-aeuvifu2bi.tmp в %ALLUSERSPROFILE%\55
- %ALLUSERSPROFILE%\is-kzlgoqtw4d.tmp в %ALLUSERSPROFILE%\66
- %ALLUSERSPROFILE%\is-bmo3daxjyw.tmp в %ALLUSERSPROFILE%\77
- C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\is-ypg4vqid74.tmp в C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\fouriertransformlib8.dll
- C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\is-1pt2huxyaj.tmp в C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\imagerestorelib8.dll
- C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\is-h9opedk24f.tmp в C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\wavelet_3_8.dll
- C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\is-l6lrcvxojn.tmp в C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\_8
- C:\users\public\documents\is-soijym2rrl.tmp в C:\users\public\documents\taskload.exe
- C:\users\public\documents\is-vsg055zzae.tmp в C:\users\public\documents\libcef.dll
- C:\users\public\documents\is-paklc9b5be.tmp в C:\users\public\documents\dll1.dll
- C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\is-2aue4scueh.tmp в C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\agnisubmak.exe
- C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\is-894gnhj4g3.tmp в C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\libcef.dll
- C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\is-0zts8qxlky.tmp в C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\dll1.dll
- %APPDATA%\cm_juikukku5723\bd2c55\c7c46\218d88\d1c7b8\1408e593\is-z5n6xpzg3w.tmp в %APPDATA%\cm_juikukku5723\bd2c55\c7c46\218d88\d1c7b8\1408e593\std_7.0.0.1030
Сетевая активность
Подключается к
- '14#.#2.63.179':443
TCP
Другие
- '14#.#2.63.179':443
Другое
Создает и запускает на исполнение
- '%TEMP%\is-22u1uqkvwr.tmp\<Имя файла>.tmp' /SL5="$80176,83093047,872448,<Полный путь к файлу>"
- 'C:\users\public\documents\x86-microsoft-winfile\icifevorlqgg\agnisubmak.exe'
- 'C:\users\public\documents\taskload.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Set-ExecutionPolicy Unrestricted (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "(Get-MpPreference).ExclusionPath" (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Set-ExecutionPolicy Unrestricted ; add-MpPreference -ExclusionPath %ALLUSERSPROFILE%,C:\Users\Public\Documents,'C:\Program Files (x86)','C:\Program Files','C:\Users\Public\Videos','C:... (со скрытым окном)
- 'C:\users\public\documents\taskload.exe' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "Set-ExecutionPolicy Unrestricted ; add-MpPreference -ExclusionPath "C:\Users\Public\Music","C:\Users\Public\Videos","%ALLUSERSPROFILE%","C:\Users\Public\Documents",'C:\Users\Public\Do... (со скрытым окном)
