Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\hklm\software\microsoft\windows\currentversion\run\windowsuisearch(https)
- <SYSTEM32>\tasks\hklm\software\microsoft\windows\currentversion\run\microsoftfirewallremotemanagement(dcom-rpc)
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=\"Windows UISearch (HTTPS)\" dir=in action=allow program=\"<SYSTEM32>\svchost.exe\" enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall set rule name=\"Windows UISearch (HTTPS)\" dir=in new program=\"<LS_APPDATA>\Google\reaIsched.exe\" enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=\"Windows UISearch (HTTPS)\" dir=out action=allow program=\"<SYSTEM32>\svchost.exe\" enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall set rule name=\"Windows UISearch (HTTPS)\" dir=out new program=\"<LS_APPDATA>\Google\reaIsched.exe\" enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=\"Microsoft Firewall Remote Management (DCOM-RPC)\" dir=in action=allow program=\"<SYSTEM32>\svchost.exe\" enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall set rule name=\"Microsoft Firewall Remote Management (DCOM-RPC)\" dir=in new program=\"%APPDATA%\Adobe\libEGL.exe\" enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=\"Microsoft Firewall Remote Management (DCOM-RPC)\" dir=out action=allow program=\"<SYSTEM32>\svchost.exe\" enable=yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall set rule name=\"Microsoft Firewall Remote Management (DCOM-RPC)\" dir=out new program=\"%APPDATA%\Adobe\libEGL.exe\" enable=yes
Изменения в файловой системе
Создает следующие файлы
- <LS_APPDATA>\google\reaisched.exe
- %APPDATA%\adobe\libegl.exe
Присваивает атрибут 'скрытый' для следующих файлов
- <LS_APPDATA>\google\reaisched.exe
- %APPDATA%\adobe\libegl.exe
Сетевая активность
UDP
- DNS ASK ma#.#aver.com
- DNS ASK se###h.daum.net
Другое
Создает и запускает на исполнение
- '<LS_APPDATA>\google\reaisched.exe'
- '%APPDATA%\adobe\libegl.exe'
- '<SYSTEM32>\cmd.exe' /C "start %APPDATA%\Adobe\libEGL.exe"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall set rule name=\"Microsoft Firewall Remote Management (DCOM-RPC)\" dir=out new program=\"%APPDATA%\Adobe\libEGL.exe\" enable=yes"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall add rule name=\"Microsoft Firewall Remote Management (DCOM-RPC)\" dir=out action=allow program=\"<SYSTEM32>\svchost.exe\" enable=yes"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall show rule name=\"Microsoft Firewall Remote Management (DCOM-RPC)\" dir=out"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall set rule name=\"Microsoft Firewall Remote Management (DCOM-RPC)\" dir=in new program=\"%APPDATA%\Adobe\libEGL.exe\" enable=yes"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall add rule name=\"Microsoft Firewall Remote Management (DCOM-RPC)\" dir=in action=allow program=\"<SYSTEM32>\svchost.exe\" enable=yes"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall show rule name=\"Microsoft Firewall Remote Management (DCOM-RPC)\" dir=in"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "start <LS_APPDATA>\Google\reaIsched.exe"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "SCHTASKS /CREATE /SC ONLOGON /RL HIGHEST /TR %APPDATA%\Adobe\libEGL.exe /TN HKLM\Software\Microsoft\Windows\CurrentVersion\Run\MicrosoftFirewallRemoteManagement(DCOM-RPC) /F"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall set rule name=\"Windows UISearch (HTTPS)\" dir=out new program=\"<LS_APPDATA>\Google\reaIsched.exe\" enable=yes"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall add rule name=\"Windows UISearch (HTTPS)\" dir=out action=allow program=\"<SYSTEM32>\svchost.exe\" enable=yes"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall show rule name=\"Windows UISearch (HTTPS)\" dir=out"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall set rule name=\"Windows UISearch (HTTPS)\" dir=in new program=\"<LS_APPDATA>\Google\reaIsched.exe\" enable=yes"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall add rule name=\"Windows UISearch (HTTPS)\" dir=in action=allow program=\"<SYSTEM32>\svchost.exe\" enable=yes"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall show rule name=\"Windows UISearch (HTTPS)\" dir=in"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "SCHTASKS /CREATE /SC ONLOGON /RL HIGHEST /TR <LS_APPDATA>\Google\reaIsched.exe /TN HKLM\Software\Microsoft\Windows\CurrentVersion\Run\WindowsUISearch(HTTPS) /F"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /Q /C reg add HKCU\Software\AppDatas /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "attrib +S +H %APPDATA%\Adobe\libEGL.exe"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "attrib +S +H <LS_APPDATA>\Google\reaIsched.exe"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C "attrib +S +H <LS_APPDATA>\Google\reaIsched.exe"
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall set rule name=\"Microsoft Firewall Remote Management (DCOM-RPC)\" dir=out new program=\"%APPDATA%\Adobe\libEGL.exe\" enable=yes"
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall add rule name=\"Microsoft Firewall Remote Management (DCOM-RPC)\" dir=out action=allow program=\"<SYSTEM32>\svchost.exe\" enable=yes"
- '<SYSTEM32>\netsh.exe' advfirewall firewall show rule name=\"Microsoft Firewall Remote Management (DCOM-RPC)\" dir=out
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall show rule name=\"Microsoft Firewall Remote Management (DCOM-RPC)\" dir=out"
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall set rule name=\"Microsoft Firewall Remote Management (DCOM-RPC)\" dir=in new program=\"%APPDATA%\Adobe\libEGL.exe\" enable=yes"
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall add rule name=\"Microsoft Firewall Remote Management (DCOM-RPC)\" dir=in action=allow program=\"<SYSTEM32>\svchost.exe\" enable=yes"
- '<SYSTEM32>\netsh.exe' advfirewall firewall show rule name=\"Microsoft Firewall Remote Management (DCOM-RPC)\" dir=in
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall show rule name=\"Microsoft Firewall Remote Management (DCOM-RPC)\" dir=in"
- '<SYSTEM32>\schtasks.exe' /CREATE /SC ONLOGON /RL HIGHEST /TR %APPDATA%\Adobe\libEGL.exe /TN HKLM\Software\Microsoft\Windows\CurrentVersion\Run\MicrosoftFirewallRemoteManagement(DCOM-RPC) /F
- '<SYSTEM32>\cmd.exe' /C "SCHTASKS /CREATE /SC ONLOGON /RL HIGHEST /TR %APPDATA%\Adobe\libEGL.exe /TN HKLM\Software\Microsoft\Windows\CurrentVersion\Run\MicrosoftFirewallRemoteManagement(DCOM-RPC) /F"
- '<SYSTEM32>\attrib.exe' +S +H %APPDATA%\Adobe\libEGL.exe
- '<SYSTEM32>\cmd.exe' /C "attrib +S +H %APPDATA%\Adobe\libEGL.exe"
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall set rule name=\"Windows UISearch (HTTPS)\" dir=out new program=\"<LS_APPDATA>\Google\reaIsched.exe\" enable=yes"
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall add rule name=\"Windows UISearch (HTTPS)\" dir=out action=allow program=\"<SYSTEM32>\svchost.exe\" enable=yes"
- '<SYSTEM32>\netsh.exe' advfirewall firewall show rule name=\"Windows UISearch (HTTPS)\" dir=out
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall show rule name=\"Windows UISearch (HTTPS)\" dir=out"
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall set rule name=\"Windows UISearch (HTTPS)\" dir=in new program=\"<LS_APPDATA>\Google\reaIsched.exe\" enable=yes"
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall add rule name=\"Windows UISearch (HTTPS)\" dir=in action=allow program=\"<SYSTEM32>\svchost.exe\" enable=yes"
- '<SYSTEM32>\netsh.exe' advfirewall firewall show rule name=\"Windows UISearch (HTTPS)\" dir=in
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall show rule name=\"Windows UISearch (HTTPS)\" dir=in"
- '<SYSTEM32>\schtasks.exe' /CREATE /SC ONLOGON /RL HIGHEST /TR <LS_APPDATA>\Google\reaIsched.exe /TN HKLM\Software\Microsoft\Windows\CurrentVersion\Run\WindowsUISearch(HTTPS) /F
- '<SYSTEM32>\cmd.exe' /C "SCHTASKS /CREATE /SC ONLOGON /RL HIGHEST /TR <LS_APPDATA>\Google\reaIsched.exe /TN HKLM\Software\Microsoft\Windows\CurrentVersion\Run\WindowsUISearch(HTTPS) /F"
- '<SYSTEM32>\reg.exe' add HKCU\Software\AppDatas /f
- '<SYSTEM32>\cmd.exe' /Q /C reg add HKCU\Software\AppDatas /f
- '<SYSTEM32>\attrib.exe' +S +H <LS_APPDATA>\Google\reaIsched.exe
- '<SYSTEM32>\cmd.exe' /C "start %APPDATA%\Adobe\libEGL.exe"
- '<SYSTEM32>\cmd.exe' /C "start <LS_APPDATA>\Google\reaIsched.exe"
