Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 21 25 1 5 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 19 29 2 1 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 18 24 3 5 4
- '%TEMP%\ztmp\tmp31661.exe' /pid=3092
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 22 21 3 1 4
- '%TEMP%\ztmp\tmp31661.exe' f3GcN7SrE4 1 8
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 6 24 3 5 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 6 53 3 5 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 7 58 3 1 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 9 54 1 4 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 12 33 1 4 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 19 29 3 1 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 15 32 3 5 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 21 25 1 4 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 12 46 1 4 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 9 45 3 5 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 9 32 3 5 4
- '%TEMP%\ztmp\tmp31661.exe' /pid=836
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 16 37 2 1 4
- '%TEMP%\ztmp\tmp31661.exe' /pid=3608
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 18 33 1 5 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 21 16 3 5 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 3 61 3 5 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 21 61 3 5 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 4 66 3 1 4
- '%TEMP%\ztmp\tmp31661.exe' f3GcN7SrE4 0 8
- '%TEMP%\ztmp\tmp31661.exe' f3GcN7SrE4 7 1
- '%TEMP%\ztmp\tmp31661.exe' Yz29koFyRv 150
- '%TEMP%\ztmp\tmp31661.exe' f87Vy9HaCx "Checking System..." 8 7 1
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 3 16 3 5 4
- '%TEMP%\ztmp\tmp31661.exe' f3GcN7SrE4 8 1
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 6 62 1 4 4
- '%TEMP%\ztmp\tmp31661.exe' f3GcN7SrE4 8 8
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 24 62 1 4 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 7 29 3 1 4
- '%TEMP%\ztmp\tmp31661.exe' f3GcN7SrE4 1 1
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 9 25 1 4 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 6 17 1 4 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 4 21 3 1 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 24 17 1 5 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 22 66 3 1 4
- '%TEMP%\ztmp\tmp31661.exe' jH6o8Vcr2u 22 21 2 1 4
Запускает на исполнение:
- '<SYSTEM32>\attrib.exe' +h %TEMP%\ztmp
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе:
Создает следующие файлы:
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\drivetable.txt
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\_filelst.cfg
- C:\System Volume Information\_restore{E7F0F64C-F7E5-4319-8757-E9A20C1C4E14}\fifo.log
- %TEMP%\ztmp\tmp11811.bat
- %TEMP%\ztmp\tmp31661.exe
Удаляет следующие файлы:
- <SYSTEM32>\Restore\MachineGuid.txt
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: '(null)'
