Техническая информация
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\arp.exe' /pid=2460
- '<SYSTEM32>\arp.exe' /pid=3904
- '<SYSTEM32>\arp.exe' /pid=3628
- '<SYSTEM32>\arp.exe' /pid=3528
- '<SYSTEM32>\arp.exe' /pid=3792
- '<SYSTEM32>\arp.exe' /pid=3260
- '<SYSTEM32>\arp.exe' /pid=3860
- '<SYSTEM32>\arp.exe' /pid=2816
- '<SYSTEM32>\arp.exe' /pid=1540
- '<SYSTEM32>\arp.exe' /pid=3352
- '<SYSTEM32>\arp.exe' /pid=2712
- '<SYSTEM32>\arp.exe' /pid=3376
- '<SYSTEM32>\arp.exe' /pid=2608
- '<SYSTEM32>\arp.exe' /pid=3396
- '<SYSTEM32>\arp.exe' /pid=3304
- '<SYSTEM32>\arp.exe' /pid=2568
- '<SYSTEM32>\arp.exe' /pid=4056
- '<SYSTEM32>\arp.exe' /pid=3408
- '<SYSTEM32>\arp.exe' /pid=3300
- '<SYSTEM32>\arp.exe' /pid=3832
- '<SYSTEM32>\arp.exe' /pid=3548
- '<SYSTEM32>\arp.exe' /pid=112
- '<SYSTEM32>\arp.exe' -a
- '<SYSTEM32>\arp.exe' /pid=3240
- '<SYSTEM32>\arp.exe' /pid=3016
- '<SYSTEM32>\arp.exe' /pid=320
- '<SYSTEM32>\arp.exe' /pid=3568
- '<SYSTEM32>\arp.exe' /pid=3392
- '<SYSTEM32>\arp.exe' /pid=992
- '<SYSTEM32>\arp.exe' /pid=3920
- '<SYSTEM32>\arp.exe' /pid=3100
- '<SYSTEM32>\arp.exe' /pid=2964
- '<SYSTEM32>\arp.exe' /pid=3000
- '<SYSTEM32>\arp.exe' /pid=828
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\arp.exe
Изменения в файловой системе:
Создает следующие файлы:
- <Текущая директория>\DecaffeinatID.ini
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
