Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /T /IM "Cheetah Tool Pro.exe" /FI "PID ne 1400"
- '<SYSTEM32>\taskkill.exe' /F /T /IM CHEETAHToolPRO.exe /FI "PID ne 1400"
- '<SYSTEM32>\taskkill.exe' /F /T /IM cheetahtoolpro2.exe /FI "PID ne 1400"
- '<SYSTEM32>\taskkill.exe' /F /T /IM cheetahtoolpro.new.exe /FI "PID ne 1400"
- '<SYSTEM32>\taskkill.exe' /F /T /IM "Cheetah Tool Pro.exe" /FI "PID ne 4980"
- '<SYSTEM32>\taskkill.exe' /F /T /IM CHEETAHToolPRO.exe /FI "PID ne 4980"
- '<SYSTEM32>\taskkill.exe' /F /T /IM cheetahtoolpro2.exe /FI "PID ne 4980"
- '<SYSTEM32>\taskkill.exe' /F /T /IM cheetahtoolpro.new.exe /FI "PID ne 4980"
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\cheetah\bugs\cheetah_startup.log
- %LOCALAPPDATA%\cheetah\bugs\render_level.txt
Перемещает следующие файлы
- %LOCALAPPDATA%\cheetah\bugs\cheetah_startup.log в %LOCALAPPDATA%\cheetah\bugs\cheetah_startup_20260923_163408.log
Подменяет следующие файлы
- %LOCALAPPDATA%\cheetah\bugs\cheetah_startup.log
Самоперемещается
- из <Полный путь к файлу> в <Текущая директория>\cheetah tool pro.exe
Сетевая активность
Подключается к
- 'localhost':5037
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -ExecutionPolicy Bypass -Command "Wait-Process -Id 1400 -ErrorAction SilentlyContinue; Start-Process -FilePath '<Текущая директория>\Cheetah Tool Pro.exe' -Workin...
