Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windows network
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\wnetwork\gdskedde.exe
- %APPDATA%\wnetwork\settings.ini
Сетевая активность
Подключается к
- '66.##2.100.138':449
TCP
- 'my####rnalip.com':443
UDP
- DNS ASK my####rnalip.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\wnetwork\gdskedde.exe'
- '%WINDIR%\syswow64\cmd.exe' sc stop WinDefend' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' sc delete WinDefend' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' powershell Set-MpPreference -DisableRealtimeMonitoring $true' (со скрытым окном)
- '%APPDATA%\wnetwork\gdskedde.exe' ' (со скрытым окном)
- '<SYSTEM32>\svchost.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' sc stop WinDefend
- '%WINDIR%\syswow64\cmd.exe' sc delete WinDefend
- '%WINDIR%\syswow64\cmd.exe' powershell Set-MpPreference -DisableRealtimeMonitoring $true
- '%WINDIR%\syswow64\sc.exe' delete WinDefend
- '%WINDIR%\syswow64\sc.exe' stop WinDefend
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableRealtimeMonitoring $true
- '<SYSTEM32>\svchost.exe'
