Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Defender' = '"%APPDATA%\Microsoft Updater\Windows Defender.exe"'
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\WindowsInput] 'ImagePath' = '"<SYSTEM32>\WindowsInput.exe"'
- [<HKLM>\SYSTEM\ControlSet001\Services\WindowsInput] 'Start' = '00000002'
Вредоносные функции:
Создает и запускает на исполнение:
- '%APPDATA%\MicrosoftWatchdog.exe' /launchSelfAndExit "%APPDATA%\Microsoft Updater\Windows Defender.exe" 3128 /protectFile
- '%APPDATA%\Microsoft Updater\Windows Defender.exe'
- '<SYSTEM32>\WindowsInput.exe' --install
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\ko3rs3xi.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4.tmp" "%TEMP%\CSC3.tmp"
- '%APPDATA%\MicrosoftWatchdog.exe' /watchProcess "%APPDATA%\Microsoft Updater\Windows Defender.exe" 3128 "/protectFile"
- '%APPDATA%\Microsoft Updater\Windows Defender.exe'
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\boe1n9n1.cmdline"
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2.tmp" "%TEMP%\CSC1.tmp"
- '<SYSTEM32>\WindowsInput.exe'
Внедряет код в
следующие пользовательские процессы:
- Windows Defender.exe
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\ko3rs3xi.cmdline
- %TEMP%\ko3rs3xi.out
- %APPDATA%\Microsoft Updater\Windows Defender.exe.config
- %TEMP%\ko3rs3xi.0.cs
- %TEMP%\CSC3.tmp
- %APPDATA%\MicrosoftWatchdog.exe
- %APPDATA%\MicrosoftWatchdog.exe.config
- %TEMP%\RES4.tmp
- %TEMP%\ko3rs3xi.dll
- %APPDATA%\Microsoft Updater\Windows Defender.exe
- %TEMP%\boe1n9n1.out
- %TEMP%\CSC1.tmp
- %TEMP%\boe1n9n1.0.cs
- %TEMP%\boe1n9n1.cmdline
- %TEMP%\RES2.tmp
- <SYSTEM32>\WindowsInput.exe.config
- <SYSTEM32>\WindowsInput.InstallState
- %TEMP%\boe1n9n1.dll
- <SYSTEM32>\WindowsInput.exe
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\Microsoft Updater\Windows Defender.exe
Удаляет следующие файлы:
- %TEMP%\ko3rs3xi.cmdline
- %TEMP%\CSC3.tmp
- %TEMP%\RES4.tmp
- %TEMP%\ko3rs3xi.out
- %TEMP%\ko3rs3xi.0.cs
- %TEMP%\ko3rs3xi.dll
- %TEMP%\boe1n9n1.0.cs
- %TEMP%\CSC1.tmp
- %TEMP%\RES2.tmp
- %TEMP%\boe1n9n1.dll
- %TEMP%\boe1n9n1.out
- %TEMP%\boe1n9n1.cmdline
Сетевая активность:
Подключается к:
- '18#.#66.236.103':10134
- 'de############ktsieisteinhobbitundheisstfrodo.faith':10134
UDP:
- DNS ASK de############ktsieisteinhobbitundheisstfrodo.faith
Другое:
Ищет следующие окна:
- ClassName: 'Shell_TrayWnd' WindowName: ''
