Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\microsoft\windows\winthemehelper
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\content\4380-5384-<Имя файла>.exe-20-26-14-986.dump
- %APPDATA%\microsoft\windows\runtimebroker.exe
- %LOCALAPPDATA%\microsoft\windows\winstore\runtimebroker.exe
- %ALLUSERSPROFILE%\microsoft\windows\runtimebroker.exe
- %APPDATA%\microsoft\windows\themes\runtimebroker.exe
- %APPDATA%\microsoft\windows\themes\winthemehelper.exe
- %TEMP%\tmpd070.tmp.xml
- %APPDATA%\microsoft\windows\templates\cache\screenshots\screen_20260703_202748.png
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\microsoft\windows\runtimebroker.exe
- %LOCALAPPDATA%\microsoft\windows\winstore\runtimebroker.exe
- %ALLUSERSPROFILE%\microsoft\windows\runtimebroker.exe
- %APPDATA%\microsoft\windows\themes\runtimebroker.exe
- %APPDATA%\microsoft\windows\themes\winthemehelper.exe
Удаляет файлы, которые сам же создал
- %TEMP%\tmpd070.tmp.xml
Сетевая активность
Подключается к
- 'ap#.##legram.org':443
- 'ap#.##ingecko.com':443
- 'ap#.##ternative.me':443
- 'x1.#.lencr.org':80
- 'ap###pv4.ip.sb':443
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'ap#.##ingecko.com':443
- 'ap#.##ternative.me':443
- 'ap###pv4.ip.sb':443
UDP
- DNS ASK ap#.##legram.org
- DNS ASK ap#.##ingecko.com
- DNS ASK ap#.##ternative.me
- DNS ASK x1.#.lencr.org
- DNS ASK ap###pv4.ip.sb
- DNS ASK ap###pv6.ip.sb
Другое
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /Create /TN "Microsoft\Windows\WinThemeHelper" /XML "%TEMP%\tmpD070.tmp.xml" /F
