Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '' = '%APPDATA%\Taskservice\taskservice.exe'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '' = '%APPDATA%\Taskservice\taskservice.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\run.lnk
- %WINDIR%\tasks\uac.job
- <SYSTEM32>\tasks\uac
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im taskservice*
- '%WINDIR%\syswow64\taskkill.exe' /f /im IMG001*
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsub37f.tmp
- %APPDATA%\taskservice\taskservice.exe
- %TEMP%\nsub73.tmp
- %APPDATA%\taskservice\taskidle32.exe
- %APPDATA%\taskservice\taskidle64.exe
Удаляет следующие файлы
- %WINDIR%\tasks\uac.job
- <SYSTEM32>\tasks\uac
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\taskservice\taskservice.exe'
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im IMG001* & tskill IMG001*' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im taskservice* & tskill taskservice*' (со скрытым окном)
- '%APPDATA%\taskservice\taskservice.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "" /d "%APPDATA%\Taskservice\taskservice.exe" /t REG_SZ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /tn "UAC" /SC ONLOGON /F /RL HIGHEST /TR "%APPDATA%\Taskservice\taskservice.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /tn "UAC" /RU "SYSTEM" /SC ONLOGON /F /V1 /RL HIGHEST /TR "%APPDATA%\Taskservice\taskservice.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c powercfg /CHANGE -standby-timeout-ac 0 & powercfg /CHANGE -hibernate-timeout-ac 0 & Powercfg -SetAcValueIndex 381b4222-f694-41f0-9685-ff5bb260df2e 4f971e89-eebd-4455-a8de-9e59040e7347 5ca833...' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im IMG001* & tskill IMG001*
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im taskservice* & tskill taskservice*
- '%WINDIR%\syswow64\cmd.exe' /c reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "" /d "%APPDATA%\Taskservice\taskservice.exe" /t REG_SZ
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /tn "UAC" /SC ONLOGON /F /RL HIGHEST /TR "%APPDATA%\Taskservice\taskservice.exe"
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /tn "UAC" /RU "SYSTEM" /SC ONLOGON /F /V1 /RL HIGHEST /TR "%APPDATA%\Taskservice\taskservice.exe"
- '%WINDIR%\syswow64\cmd.exe' /c powercfg /CHANGE -standby-timeout-ac 0 & powercfg /CHANGE -hibernate-timeout-ac 0 & Powercfg -SetAcValueIndex 381b4222-f694-41f0-9685-ff5bb260df2e 4f971e89-eebd-4455-a8de-9e59040e7347 5ca833...
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "" /d "%APPDATA%\Taskservice\taskservice.exe" /t REG_SZ
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "UAC" /RU "SYSTEM" /SC ONLOGON /F /V1 /RL HIGHEST /TR "%APPDATA%\Taskservice\taskservice.exe"
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "UAC" /SC ONLOGON /F /RL HIGHEST /TR "%APPDATA%\Taskservice\taskservice.exe"
- '%WINDIR%\syswow64\powercfg.exe' /CHANGE -standby-timeout-ac 0
- '%WINDIR%\syswow64\powercfg.exe' /CHANGE -hibernate-timeout-ac 0
- '%WINDIR%\syswow64\powercfg.exe' -SetAcValueIndex 381b4222-f694-41f0-9685-ff5bb260df2e 4f971e89-eebd-4455-a8de-9e59040e7347 5ca83367-6e45-459f-a27b-476b1d01c936 000
