Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"<Полный путь к файлу>" -mini'
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\mtjv] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\mtjv] 'ImagePath' = '"<Полный путь к файлу>" -service'
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\net.exe' stop vss
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\log\log-2019-07-20.txt
- <Текущая директория>\ccboot.ini
- <Текущая директория>\ccbootshare.bat
- nul
- <Текущая директория>\x
- <Текущая директория>\y.reg
Удаляет следующие файлы
- <Текущая директория>\x
- <Текущая директория>\y.reg
- <Текущая директория>\ccbootshare.bat
Сетевая активность
UDP
- DNS ASK re#.#cboot.com
Другое
Запускает на исполнение
- '<SYSTEM32>\wbem\wmic.exe' computersystem set AutomaticManagedPagefile=False
- '<SYSTEM32>\net1.exe' SHARE CCBootShare /DELETE /Y
- '<SYSTEM32>\net.exe' SHARE CCBootShare /DELETE /Y
- '<SYSTEM32>\cmd.exe' /c "rd /S /Q C:\SteamData"
- '<SYSTEM32>\reg.exe' import y.reg
- '<SYSTEM32>\regini.exe' x
- '<SYSTEM32>\net1.exe' user guest /active:yes
- '<SYSTEM32>\net.exe' user guest /active:yes
- '<SYSTEM32>\wbem\wmic.exe' useraccount where name='guest' get sid
- '<SYSTEM32>\cmd.exe' /c "wmic useraccount where name='guest' get sid"
- '<SYSTEM32>\find.exe' /i "SERVICE_NAME: LanmanServer"
- '<SYSTEM32>\find.exe' /i "SERVICE_NAME: SamSs"
- '<SYSTEM32>\find.exe' /i "SERVICE_NAME: RpcSs"
- '<SYSTEM32>\find.exe' /i "SERVICE_NAME: DcomLaunch"
- '<SYSTEM32>\find.exe' /i "SERVICE_NAME: RpcEptMapper"
- '<SYSTEM32>\sc.exe' query
- '<SYSTEM32>\cmd.exe' /c <Текущая директория>\CCBootShare.bat
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SPP\Clients" /f
- '<SYSTEM32>\reg.exe' DELETE "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SPP\Clients" /f
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore" /v RPSessionInterval /t REG_DWORD /d 0 /f
- '<SYSTEM32>\net1.exe' stop vss
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "disable-computerrestore -drive D:\"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "disable-computerrestore -drive C:\"
- '<SYSTEM32>\wbem\wmic.exe' pagefileset where name="D:\pagefile.sys" delete
- '<SYSTEM32>\net.exe' SHARE CCBootShare="C:\SteamData" /GRANT:everyone,FULL /UNLIMITED /Y
- '<SYSTEM32>\net1.exe' SHARE CCBootShare="C:\SteamData" /GRANT:everyone,FULL /UNLIMITED /Y
