Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\aysaOuno6eMTH] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\aysaOuno6eMTH] 'ImagePath' = 'cmd /c cd /d "C:\msys64\BB5O\HpitCV\iAIHeS\" && start "" "C:\msys64\BB5O\HpitCV\iAIHeS\ONGNF.exe"'
Создает следующие сервисы
- 'aysaOuno6eMTH' cmd /c cd /d "C:\msys64\BB5O\HpitCV\iAIHeS\" && start "" "C:\msys64\BB5O\HpitCV\iAIHeS\ONGNF.exe"
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-19ufd.tmp\<Имя файла>.tmp
- %TEMP%\is-ri8pb.tmp\_isetup\_setup64.tmp
- C:\msys64\bb5o\hpitcv\iaihes\is-j12j3.tmp
- C:\msys64\bb5o\hpitcv\iaihes\is-16ie6.tmp
- C:\msys64\bb5o\hpitcv\iaihes\is-hdjos.tmp
- C:\msys64\bb5o\hpitcv\onv74a\is-qlsuk.tmp
- C:\msys64\bb5o\hpitcv\pozbkc\is-ogvcg.tmp
- C:\msys64\bb5o\hpitcv\pozbkc\is-l9q86.tmp
- %HOMEPATH%\desktop\闪 连.lnk
- %ALLUSERSPROFILE%\749baa04555e4a81a5e2d0b35d0a3748\config.ini
Удаляет файлы, которые сам же создал
- %TEMP%\is-ri8pb.tmp\_isetup\_setup64.tmp
- %TEMP%\is-19ufd.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- C:\msys64\bb5o\hpitcv\iaihes\is-j12j3.tmp в C:\msys64\bb5o\hpitcv\iaihes\eu0vv.js
- C:\msys64\bb5o\hpitcv\iaihes\is-16ie6.tmp в C:\msys64\bb5o\hpitcv\iaihes\ongnf.exe
- C:\msys64\bb5o\hpitcv\iaihes\is-hdjos.tmp в C:\msys64\bb5o\hpitcv\iaihes\yedrv013.m
- C:\msys64\bb5o\hpitcv\onv74a\is-qlsuk.tmp в C:\msys64\bb5o\hpitcv\onv74a\lightningx.ico
- C:\msys64\bb5o\hpitcv\pozbkc\is-ogvcg.tmp в C:\msys64\bb5o\hpitcv\pozbkc\lightningx.exe
- C:\msys64\bb5o\hpitcv\pozbkc\is-l9q86.tmp в C:\msys64\bb5o\hpitcv\pozbkc\qpvwii.ico
Сетевая активность
Подключается к
- 'er###obn.com':8080
TCP
Другие
- 'er###obn.com':8080
UDP
- DNS ASK er###obn.com
Другое
Создает и запускает на исполнение
- '%TEMP%\is-19ufd.tmp\<Имя файла>.tmp' /SL5="$D02B2,134241612,935936,<Полный путь к файлу>"
- 'C:\msys64\bb5o\hpitcv\iaihes\ongnf.exe'
Запускает на исполнение
- 'C:\msys64\bb5o\hpitcv\iaihes\ongnf.exe' (со скрытым окном)
