Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'ServiceHelper' = '%APPDATA%\ServiceHelper.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\hklm\software\microsoft\windows\currentversion\run\rundll32
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=\"rundll32\" dir=in action=allow program=\"<Полный путь к файлу>\" enable=yes
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\servicehelper.exe
Самоперемещается
- из <Полный путь к файлу> в %WINDIR%\rundll32.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://ch#####.amazonaws.com/
UDP
- DNS ASK ch#####.amazonaws.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /Q /C move /Y <Полный путь к файлу> %WINDIR%\rundll32.exe' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "SCHTASKS /CREATE /SC ONLOGON /RL HIGHEST /TR %WINDIR%\rundll32.exe /TN HKLM\Software\Microsoft\Windows\CurrentVersion\Run\rundll32 /F"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall add rule name=\"rundll32\" dir=in action=allow program=\"<Полный путь к файлу>\" enable=yes"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /Q /C reg add "HKCU\Software\Networking Service" /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "attrib +S +H %WINDIR%\rundll32.exe"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /Q /C move /Y <Полный путь к файлу> %WINDIR%\rundll32.exe
- '<SYSTEM32>\cmd.exe' /C "SCHTASKS /CREATE /SC ONLOGON /RL HIGHEST /TR %WINDIR%\rundll32.exe /TN HKLM\Software\Microsoft\Windows\CurrentVersion\Run\rundll32 /F"
- '<SYSTEM32>\schtasks.exe' /CREATE /SC ONLOGON /RL HIGHEST /TR %WINDIR%\rundll32.exe /TN HKLM\Software\Microsoft\Windows\CurrentVersion\Run\rundll32 /F
- '<SYSTEM32>\cmd.exe' /C "netsh advfirewall firewall add rule name=\"rundll32\" dir=in action=allow program=\"<Полный путь к файлу>\" enable=yes"
- '<SYSTEM32>\cmd.exe' /Q /C reg add "HKCU\Software\Networking Service" /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Networking Service" /f
- '<SYSTEM32>\cmd.exe' /C "attrib +S +H %WINDIR%\rundll32.exe"
- '<SYSTEM32>\attrib.exe' +S +H %WINDIR%\rundll32.exe
