Техническая информация
Для обеспечения автозапуска и распространения:
Создает следующие сервисы:
- [<HKLM>\SYSTEM\ControlSet001\Services\KProcessHacker2] 'ImagePath' = '%WINDIR%\kprocesshacker.sys'
Вредоносные функции:
Создает и запускает на исполнение:
- 'C:\False\False.exe'
Запускает на исполнение:
- '%WINDIR%\<Имя файла>.exe' -s -c -ctype process -cobject updatesrv.exe -caction terminate
- '%WINDIR%\<Имя файла>.exe' -s -c -ctype process -cobject ProductAgentService.exe -caction terminate
- '%WINDIR%\XXInstall\ps.exe' -s -c -ctype process -cobject seccenter.exe -caction terminate
- 'C:\False\False.exe'
- '<SYSTEM32>\cmd.exe' /c %TEMP%\C7E6F19E.cmd
- '%WINDIR%\<Имя файла>.exe' -s -c -ctype process -cobject bdagent.exe -caction terminate
- '<SYSTEM32>\reg.exe' add "HKCU\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\EXPLORER\ADVANCED" /v EnableBalloonTips /t REG_DWORD /d 0 /f
- '%WINDIR%\<Имя файла>.exe' -s -c -ctype process -cobject bdwtxag.exe -caction terminate
- '%WINDIR%\<Имя файла>.exe' -s -c -ctype process -cobject vsserv.exe -caction terminate
- '%WINDIR%\<Имя файла>.exe' -s -c -ctype process -cobject seccenter.exe -caction terminate
Внедряет код в
следующие системные процессы:
- %WINDIR%\XXInstall\ps.exe
следующие пользовательские процессы:
- False.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- ekrn.exe
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- %WINDIR%\<Имя файла>.exe
- C:\False\False.exe
- %TEMP%\C7E6F19E.cmd
- %WINDIR%\kProcessHacker.sys
- C:\patch\ntd2.dll
- C:\patch\krn.dll
Удаляет следующие файлы:
- %TEMP%\C7E6F19E.cmd
Самоудаляется.
Другое:
Ищет следующие окна:
- ClassName: '18467-41' WindowName: ''
