Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'SAVNO' = '%HOMEPATH%\SAVNO\start.vbs'
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [<HKLM>\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
- [<HKLM>\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe' = '%WINDI...
- [<HKLM>\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List] '%APPDATA%\H4x3d.exe' = '%APPDATA%\H4x3d.exe:*:Enabled:Windows Mess...
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /IM mshta.exe
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\savno\243751.dat
- %HOMEPATH%\savno\156188.dat
- %HOMEPATH%\savno\677033.dat
- %HOMEPATH%\savno\autoit3-905615.exe
- %HOMEPATH%\savno\settings.ini
- %HOMEPATH%\savno\run.vbs
- %HOMEPATH%\savno\uxaprbqy.dat
- %HOMEPATH%\disable.txt
- %HOMEPATH%\savno\start.cmd
- %HOMEPATH%\savno\start.vbs
- %APPDATA%\h4x3d.exe
- %APPDATA%\windowsdefender
Присваивает атрибут 'скрытый' для следующих файлов
- %HOMEPATH%\savno\243751.dat
- %HOMEPATH%\savno\156188.dat
- %HOMEPATH%\savno\677033.dat
- %HOMEPATH%\savno\autoit3-905615.exe
- %HOMEPATH%\savno\settings.ini
- %HOMEPATH%\savno\run.vbs
Удаляет следующие файлы
- %HOMEPATH%\savno\uxaprbqy.dat
Сетевая активность
UDP
- DNS ASK sp#####one21.no-ip.org
- DNS ASK 1s#####lone21.no-ip.org
- DNS ASK 2s#####lone21.no-ip.org
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "%HOMEPATH%\SAVNO\run.vbs"
- '%HOMEPATH%\savno\autoit3-905615.exe' 243751.dat
- '%HOMEPATH%\savno\autoit3-905615.exe' UXAPRBQY.dat
- '%HOMEPATH%\savno\autoit3-905615.exe' UXAPRBQY.dat' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C taskkill /IM mshta.exe' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v "DoNotAllowExceptions" /t REG_DWORD /d "0" /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe"...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "%APPDATA%\H4x3d.exe" /t REG_SZ /d "%APPDATA%\H4x3d.exe:*...' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\mshta.exe'
- '<SYSTEM32>\cmd.exe' /C taskkill /IM mshta.exe
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'
- '<SYSTEM32>\cmd.exe' /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v "DoNotAllowExceptions" /t REG_DWORD /d "0" /f
- '<SYSTEM32>\cmd.exe' /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe"...
- '<SYSTEM32>\cmd.exe' /c REG ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "%APPDATA%\H4x3d.exe" /t REG_SZ /d "%APPDATA%\H4x3d.exe:*...
- '<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile /v "DoNotAllowExceptions" /t REG_DWORD /d "0" /f
- '<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "%WINDIR%\Microsoft.NET\Framework\v4.0.30319\RegSvcs.exe" /t REG...
- '<SYSTEM32>\reg.exe' ADD HKLM\System\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List /v "%APPDATA%\H4x3d.exe" /t REG_SZ /d "%APPDATA%\H4x3d.exe:*:Enable...
