Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
удаляет теневые копии разделов.
Создает и запускает на исполнение (эксплоит)
- '%TEMP%\bcfdacbfee144973.exe'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\bcfdacbfee144973.exe
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C vssadmin.exe delete shadows /all /Quiet' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C WMIC.exe shadowcopy delete' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C Bcdedit.exe /set {default} recoveryenabled no' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C Bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C vssadmin.exe delete shadows /all /Quiet
- '<SYSTEM32>\cmd.exe' /C WMIC.exe shadowcopy delete
- '<SYSTEM32>\vssvc.exe'
- '<SYSTEM32>\cmd.exe' /C Bcdedit.exe /set {default} recoveryenabled no
- '<SYSTEM32>\cmd.exe' /C Bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
- '<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy ignoreallfailures
- '<SYSTEM32>\svchost.exe' -k swprv
