Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\qsaxbplxzmpzlaafoinoliyb
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\lwzgNMvLmtiftshTLJICQczU] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\lwzgNMvLmtiftshTLJICQczU] 'ImagePath' = 'cmd /c cd /d "C:\Drivers\mX" && start "" "C:\Drivers\mX\ABffXGu6op.exe"'
Создает следующие сервисы
- 'lwzgNMvLmtiftshTLJICQczU' cmd /c cd /d "C:\Drivers\mX" && start "" "C:\Drivers\mX\ABffXGu6op.exe"
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /IM ABffXGu6op.exe /T
- '%WINDIR%\syswow64\taskkill.exe' /F /IM installer.exe /T
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-pqvgb.tmp\<Имя файла>.tmp
- %TEMP%\is-s8i1u.tmp\_isetup\_setup64.tmp
- %TEMP%\is-s8i1u.tmp\_isetup\_shfoldr.dll
- C:\drivers\mx\is-vpn9i.tmp
- C:\drivers\mx\is-pb9nu.tmp
- C:\drivers\mx\is-4u792.tmp
- C:\drivers\mx\is-ol9cv.tmp
- C:\drivers\mx\is-sp47o.tmp
- C:\drivers\mx\is-4e3hs.tmp
- C:\drivers\mx\is-bc5pq.tmp
- C:\drivers\disdxy\is-09lbo.tmp
- C:\drivers\disdxy\is-mj0oo.tmp
- C:\drivers\disdxy\is-falpv.tmp
- C:\drivers\disdxy\is-plj19.tmp
- C:\drivers\disdxy\is-vshc3.tmp
- C:\drivers\disdxy\is-hve1b.tmp
- C:\drivers\disdxy\is-3lu7u.tmp
- C:\drivers\5sld\is-hirm6.tmp
- %HOMEPATH%\desktop\app.lnk
- C:\drivers\drivers.dat.0
- C:\drivers\drivers.dat
- \device\namedpipe\ntsvcs
Присваивает атрибут 'скрытый' для следующих файлов
- C:\drivers\5sld\wx.ox
- C:\drivers\disdxy\installer.exe
- C:\drivers\disdxy\展示视频_01.mp4
- C:\drivers\disdxy\展示视频_02.mp4
- C:\drivers\disdxy\素材图片_01.png
- C:\drivers\disdxy\素材图片_02.png
- C:\drivers\disdxy\背景音频_01.mp3
- C:\drivers\disdxy\背景音频_02.mp3
- C:\drivers\mx\abffxgu6op.exe
- C:\drivers\mx\msvcp140.dll
- C:\drivers\mx\msvcp140_1.dll
- C:\drivers\mx\t7qbiyaa.mjj
- C:\drivers\mx\vcruntime140.dll
- C:\drivers\mx\vcruntime140_1.dll
- C:\drivers\mx\wemeet_base.dll
- C:\drivers\drivers.dat
- C:\drivers\drivers.dat.0
Удаляет файлы, которые сам же создал
- %TEMP%\is-s8i1u.tmp\_isetup\_setup64.tmp
- %TEMP%\is-s8i1u.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-pqvgb.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- C:\drivers\mx\is-vpn9i.tmp в C:\drivers\mx\abffxgu6op.exe
- C:\drivers\mx\is-pb9nu.tmp в C:\drivers\mx\msvcp140.dll
- C:\drivers\mx\is-4u792.tmp в C:\drivers\mx\msvcp140_1.dll
- C:\drivers\mx\is-ol9cv.tmp в C:\drivers\mx\t7qbiyaa.mjj
- C:\drivers\mx\is-sp47o.tmp в C:\drivers\mx\vcruntime140.dll
- C:\drivers\mx\is-4e3hs.tmp в C:\drivers\mx\vcruntime140_1.dll
- C:\drivers\mx\is-bc5pq.tmp в C:\drivers\mx\wemeet_base.dll
- C:\drivers\disdxy\is-09lbo.tmp в C:\drivers\disdxy\installer.exe
- C:\drivers\disdxy\is-mj0oo.tmp в C:\drivers\disdxy\展示视频_01.mp4
- C:\drivers\disdxy\is-falpv.tmp в C:\drivers\disdxy\展示视频_02.mp4
- C:\drivers\disdxy\is-plj19.tmp в C:\drivers\disdxy\素材图片_01.png
- C:\drivers\disdxy\is-vshc3.tmp в C:\drivers\disdxy\素材图片_02.png
- C:\drivers\disdxy\is-hve1b.tmp в C:\drivers\disdxy\背景音频_01.mp3
- C:\drivers\disdxy\is-3lu7u.tmp в C:\drivers\disdxy\背景音频_02.mp3
- C:\drivers\5sld\is-hirm6.tmp в C:\drivers\5sld\wx.ox
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-pqvgb.tmp\<Имя файла>.tmp' /SL5="$1001DE,126837112,119296,<Полный путь к файлу>"
- 'C:\drivers\mx\abffxgu6op.exe'
Запускает на исполнение
- '<SYSTEM32>\vssvc.exe'
- '<SYSTEM32>\cmd.exe' /c "icacls \"C:\Drivers\" /deny Users:(D)" (со скрытым окном)
- '<SYSTEM32>\icacls.exe' \"C:\Drivers\" /deny Users:(D)
- '<SYSTEM32>\cmd.exe' /c "icacls \"C:\Drivers\" /grant Users:(OI)(CI)(RX)" (со скрытым окном)
- '<SYSTEM32>\icacls.exe' \"C:\Drivers\" /grant Users:(OI)(CI)(RX)
- '<SYSTEM32>\attrib.exe' C:\Drivers +s +h (со скрытым окном)
- '<SYSTEM32>\attrib.exe' C:\Drivers\* +s +h /S /D (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn QsaXBPLxZMpzLaAfOinOliyB /tr "cmd /c cd /d \"C:\Drivers\mX\" && start \"\" \"C:\Drivers\mX\ABffXGu6op.exe\"" /sc onstart /ru SYSTEM /rl HIGHEST /f (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /F /IM ABffXGu6op.exe /T (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /F /IM installer.exe /T (со скрытым окном)
