Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\robioxplayrbeta
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Запускает большое число процессов
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\wruntime.log
- %LOCALAPPDATA%\roblox\versions\version-145f189a6a974303\robioxplayrbeta.exe
- %TEMP%\robioxplayrbeta_task.xml
- nul
- %LOCALAPPDATA%\microsoft\windows\actioncentercache\windows-systemtoast-securityandmaintenance_10_0.png
- %TEMP%\.aid
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\roblox\versions\version-145f189a6a974303\robioxplayrbeta.exe
Удаляет файлы, которые сам же создал
- %TEMP%\robioxplayrbeta_task.xml
Подменяет следующие файлы
- %TEMP%\robioxplayrbeta_task.xml
Сетевая активность
Подключается к
- 'we###tik.sbs':443
TCP
Другие
- 'we###tik.sbs':443
UDP
- DNS ASK we###tik.sbs
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\roblox\versions\version-145f189a6a974303\robioxplayrbeta.exe'
- '%LOCALAPPDATA%\roblox\versions\version-145f189a6a974303\robioxplayrbeta.exe' --installed
- '%LOCALAPPDATA%\roblox\versions\version-145f189a6a974303\robioxplayrbeta.exe' --watchdog 4472 --wd-target %LOCALAPPDATA%\Roblox\Versions\version-145f189a6a974303\RobIoxPlayrBeta.exe
Запускает на исполнение
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq wireshark.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq dumpcap.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq procmon.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq procmon64.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq procexp.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq procexp64.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq processhacker.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq x64dbg.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq x32dbg.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq ollydbg.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq ida.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq ida64.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq idag.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq idag64.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq idaw.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq idaw64.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq fiddler.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq httpdebugger.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq httpdebuggerui.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq dnspy.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq pestudio.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq cheatengine.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq hxd.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq devenv.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq windbg.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq immunitydebugger.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq apimonitor.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq autoruns.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq autorunsc.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq filemon.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq regmon.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq resourcehacker.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq vmtoolsd.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq vmwaretray.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq vmwareuser.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq vmusrvc.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq vmsrvc.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq vboxservice.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq vboxtray.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq xenservice.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq qemu-ga.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq sandboxie.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq sandboxiedcomlaunch.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq sandboxierpcss.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq joeboxcontrol.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq joeboxserver.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq prl_tools.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq prl_cc.exe" /NH (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FI "IMAGENAME eq vmacthlp.exe" /NH (со скрытым окном)
- '<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v ConsentPromptBehaviorUser /t REG_DWORD /d 0 /f (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /XML %TEMP%\RobIoxPlayrBeta_task.xml /TN RobIoxPlayrBeta /F (со скрытым окном)
- '<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v PromptOnSecureDesktop /t REG_DWORD /d 0 /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -Command "(Get-WmiObject -Query \"select Name from Win32_Processor\").Name" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -Command "(Get-WmiObject -Query \"Select Name from Win32_VideoController\").Name" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -Command "(Get-WmiObject -Query \"select Caption from Win32_OperatingSystem\").Caption" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -Command "(Get-WmiObject -Query \"select TotalPhysicalMemory from Win32_ComputerSystem\").TotalPhysicalMemory" (со скрытым окном)
- '%LOCALAPPDATA%\roblox\versions\version-145f189a6a974303\robioxplayrbeta.exe' --installed (со скрытым окном)
- '%LOCALAPPDATA%\roblox\versions\version-145f189a6a974303\robioxplayrbeta.exe' --watchdog 4472 --wd-target %LOCALAPPDATA%\Roblox\Versions\version-145f189a6a974303\RobIoxPlayrBeta.exe (со скрытым окном)
