Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\e4VbHkRby4I61IXW] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\e4VbHkRby4I61IXW] 'ImagePath' = 'cmd /c cd /d "C:\msys64\pswnG\WoCx\cTpAi\TH3f\" && start "" "C:\msys64\pswnG\WoCx\cTpAi\TH3f\GWrR.exe"'
Создает следующие сервисы
- 'e4VbHkRby4I61IXW' cmd /c cd /d "C:\msys64\pswnG\WoCx\cTpAi\TH3f\" && start "" "C:\msys64\pswnG\WoCx\cTpAi\TH3f\GWrR.exe"
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\copyright (c) 2011-2026\bandi-zip 7.46.0 setup 7.4.6\install\bandi-zip 7.45.0 setup.msi
- %TEMP%\shi4225.tmp
- %TEMP%\msi4301.tmp
- %TEMP%\msi4786.tmp
- %TEMP%\msi4a85.tmp
- %TEMP%\pre4c3b.tmp
- %APPDATA%\copyright (c) 2011-2026\bandi-zip 7.46.0 setup 7.4.6\install\bandi-zip 7.45.0 setup1.cab
- %WINDIR%\temp\~df774d83bbf1e29f51.tmp
- %WINDIR%\installer\sourcehash{738d4b18-e96b-4e9a-99b5-d540ac84981d}
- %WINDIR%\temp\~df1ec71de1866cebff.tmp
- %WINDIR%\temp\~df3ed60b7863cd9f52.tmp
- %WINDIR%\temp\~dff43c8f3e929fa4c1.tmp
- %ProgramFiles(x86)%\copyright (c) 2011-2026\bandi-zip 7.46.0 setup\bandizip-setup-std-all.exe
- %ProgramFiles(x86)%\copyright (c) 2011-2026\bandi-zip 7.46.0 setup\d5jnky.exe
- %TEMP%\is-nn5k2.tmp\d5jnky.tmp
- %TEMP%\is-0315t.tmp\_isetup\_setup64.tmp
- C:\msys64\pswng\wocx\ctpai\th3f\is-lj61d.tmp
- C:\msys64\pswng\wocx\ctpai\th3f\is-qo338.tmp
- C:\msys64\pswng\wocx\ctpai\th3f\is-llk5k.tmp
- %WINDIR%\temp\~dfa9727acee4e82258.tmp
- %WINDIR%\temp\~df2bff39e3cb401359.tmp
- %WINDIR%\temp\~dff81dac7bde3f447d.tmp
- %WINDIR%\temp\~dfbe7361cf3878fd12.tmp
- %WINDIR%\temp\~dff6d2119a550e5502.tmp
- %WINDIR%\temp\~dfcbaabe2992456b73.tmp
- %WINDIR%\temp\~df6b5f528b804e493f.tmp
- %WINDIR%\temp\~df83b2e1eb2c713231.tmp
- %ALLUSERSPROFILE%\de659349ed694b1a8bd6cad78355fc26\config.ini
Удаляет файлы, которые сам же создал
- %TEMP%\shi4225.tmp
- %TEMP%\msi4301.tmp
- %TEMP%\msi4786.tmp
- %TEMP%\msi4a85.tmp
- %TEMP%\pre4c3b.tmp
- %TEMP%\is-0315t.tmp\_isetup\_setup64.tmp
- %TEMP%\is-nn5k2.tmp\d5jnky.tmp
- %APPDATA%\copyright (c) 2011-2026\bandi-zip 7.46.0 setup 7.4.6\install\bandi-zip 7.45.0 setup.msi
- %APPDATA%\copyright (c) 2011-2026\bandi-zip 7.46.0 setup 7.4.6\install\bandi-zip 7.45.0 setup1.cab
Перемещает следующие файлы
- C:\msys64\pswng\wocx\ctpai\th3f\is-lj61d.tmp в C:\msys64\pswng\wocx\ctpai\th3f\g.x0
- C:\msys64\pswng\wocx\ctpai\th3f\is-qo338.tmp в C:\msys64\pswng\wocx\ctpai\th3f\gwrr.exe
- C:\msys64\pswng\wocx\ctpai\th3f\is-llk5k.tmp в C:\msys64\pswng\wocx\ctpai\th3f\skv8fzr5.jw
Сетевая активность
Подключается к
- 've#.#andi.so':443
- 'oc##.#ectigo.com':80
- '45.#19.98.6':25
- 'ei##oo5.com':80
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?4d##############
- http://oc##.#ectigo.com/MFIwUDBOMEwwSjAJBgUrDgMCGgUABBTVPszlvxRyknkueSZrckdKU1q0%2FQQUaMASFhgOr872h6YyV6NGUV3LBycCEQDW0NiDBVXLvYVib0eFSm8w
Другие
- 've#.#andi.so':443
- 'ei##oo5.com':80
UDP
- DNS ASK ve#.#andi.so
- DNS ASK oc##.#ectigo.com
- DNS ASK ei##oo5.com
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: 'XRecv'
- ClassName: '#32770' WindowName: 'XScriptDebugConsole'
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\copyright (c) 2011-2026\bandi-zip 7.46.0 setup\bandizip-setup-std-all.exe'
- '%ProgramFiles(x86)%\copyright (c) 2011-2026\bandi-zip 7.46.0 setup\d5jnky.exe'
- '%TEMP%\is-nn5k2.tmp\d5jnky.tmp' /SL5="$100198,16746148,820224,%ProgramFiles(x86)%\Copyright (C) 2011-2026\Bandi-Zip 7.46.0 Setup\D5jnKY.exe"
- 'C:\msys64\pswng\wocx\ctpai\th3f\gwrr.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\msiexec.exe' /i "%APPDATA%\Copyright (C) 2011-2026\Bandi-Zip 7.46.0 Setup 7.4.6\install\Bandi-Zip 7.45.0 Setup.msi" AI_SETUPEXEPATH=<Полный путь к файлу> SETUPEXEDIR=<Текущая директория>\ EXE_CMD_LINE="/exe...
- 'C:\msys64\pswng\wocx\ctpai\th3f\gwrr.exe' (со скрытым окном)
