Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\DNS-Service] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\DNS-Service] 'ImagePath' = '"%WINDIR%\SysWOW64\drivers\svchîst.exe"'
Создает следующие сервисы
- 'DNS-Service' "%WINDIR%\SysWOW64\drivers\svchГ®st.exe"
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im rutserv.exe
- '%WINDIR%\syswow64\taskkill.exe' /f /im rfusclient.exe
- '%WINDIR%\syswow64\netsh.exe' firewall add portopening TCP 5650 "Open Port 5650"
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Open Port 5650" dir=in action=allow protocol=TCP localport=5650
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\$inst\2.tmp
- %TEMP%\$inst\temp_0.tmp
- %WINDIR%\syswow64\drivers\install.exe
- %WINDIR%\syswow64\drivers\ssleay32.dll
- %WINDIR%\syswow64\drivers\libeay32.dll
- %WINDIR%\syswow64\drivers\svchГ®st.exe
- %TEMP%\windowsexcel\2020.1\setup.exe
- %TEMP%\$inst\0001.tmp
- %TEMP%\is-6e14r.tmp\setup.tmp
- %TEMP%\is-hkl2l.tmp\_isetup\_setup64.tmp
- %TEMP%\is-hkl2l.tmp\setup_55-58.bmp
- %TEMP%\is-hkl2l.tmp\yandex_logo.bmp
- %TEMP%\101.ico
- %PROGRAMDATA%\domain name system servis\install.log
- %WINDIR%\syswow64\idfgvgjnghcdfb.reg
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\syswow64\idfgvgjnghcdfb.reg
- %WINDIR%\syswow64\drivers\svchГ®st.exe
Удаляет следующие файлы
- %TEMP%\$inst\temp_0.tmp
- %TEMP%\$inst\0001.tmp
- %TEMP%\$inst\2.tmp
- %WINDIR%\syswow64\drivers\install.exe
Подменяет следующие файлы
- %TEMP%\$inst\temp_0.tmp
Сетевая активность
TCP
- 'sm##.#paceweb.ru':25
UDP
- DNS ASK sm##.#paceweb.ru
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\windowsexcel\2020.1\setup.exe'
- '%TEMP%\is-6e14r.tmp\setup.tmp' /SL5="$10270,9566406,493568,%TEMP%\WindowsExcel\2020.1\setup.exe"
- '%WINDIR%\syswow64\drivers\install.exe'
- '%WINDIR%\syswow64\drivers\svchГ®st.exe' /silentinstall
- '%WINDIR%\syswow64\drivers\svchГ®st.exe' /firewall
- '%WINDIR%\syswow64\drivers\svchГ®st.exe' /start
- '%WINDIR%\syswow64\drivers\svchГ®st.exe'
- '%WINDIR%\syswow64\cmd.exe' /c if exist "<SYSTEM32>\idfgvgjnghcdfb.reg" (goto& cd <DRIVERS>& attrib +h +s "svchГ®st.exe"& attrib -h -s "install.exe"& del /f /q "install.exe"& attrib -h -s "install.cmd"& del /f /q "install...' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SYSTEM\CurrentControlSet\Services\DNS-Service\Parameters\AppExit" /t REG_SZ /d "Restart" /f& REG ADD "HKLM\SYSTEM\CurrentControlSet\Services\DNS-Service" /v FailureActions /t R...' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SOFTWARE\Classes\.gz" /v notification /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c726d735f696e65745f69645f6e6f74696...' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SOFTWARE\Classes\.gz" /v Security /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c73656375726974795f73657474696e6773207...' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SOFTWARE\Classes\.gz" /v General /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c67656e6572616c5f73657474696e6773207665...' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SOFTWARE\Classes\.gz" /v Certificates /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c636572746966696374655f73657474696...' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\installer 20.0.9800.1720" /f' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c if exist "<SYSTEM32>\idfgvgjnghcdfb.reg" (goto& cd <DRIVERS>& attrib +h +s "svchГ®st.exe"& attrib -h -s "install.exe"& del /f /q "install.exe"& attrib -h -s "install.cmd"& del /f /q "install...
- '%WINDIR%\syswow64\attrib.exe' +h +s "svchГ®st.exe"
- '%WINDIR%\syswow64\attrib.exe' +h +s "<SYSTEM32>\idfgvgjnghcdfb.reg"
- '%WINDIR%\syswow64\reg.exe' delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\installer 20.0.9800.1720" /f
- '%WINDIR%\syswow64\reg.exe' ADD "HKLM\SOFTWARE\Classes\.gz" /v Certificates /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c636572746966696374655f73657474696e677320...
- '%WINDIR%\syswow64\reg.exe' ADD "HKLM\SOFTWARE\Classes\.gz" /v notification /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c726d735f696e65745f69645f6e6f746966696361...
- '%WINDIR%\syswow64\reg.exe' ADD "HKLM\SOFTWARE\Classes\.gz" /v Security /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c73656375726974795f73657474696e67732076657273...
- '%WINDIR%\syswow64\reg.exe' ADD "HKLM\SOFTWARE\Classes\.gz" /v General /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c67656e6572616c5f73657474696e67732076657273696...
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1
- '%WINDIR%\syswow64\cmd.exe' /c reg delete "HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\installer 20.0.9800.1720" /f
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SOFTWARE\Classes\.gz" /v Certificates /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c636572746966696374655f73657474696...
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SOFTWARE\Classes\.gz" /v General /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c67656e6572616c5f73657474696e6773207665...
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SOFTWARE\Classes\.gz" /v Security /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c73656375726974795f73657474696e6773207...
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SOFTWARE\Classes\.gz" /v notification /t REG_BINARY /d efbbbf3c3f786d6c2076657273696f6e3d22312e302220656e636f64696e673d225554462d38223f3e0d0a3c726d735f696e65745f69645f6e6f74696...
- '%WINDIR%\syswow64\reg.exe' delete "HKLM\SYSTEM\Remote Manipulator System" /f
- '%WINDIR%\syswow64\reg.exe' ADD "HKLM\SYSTEM\CurrentControlSet\Services\DNS-Service" /v FailureActions /t REG_BINARY /d 0000000000000000000000000300000057005300010000000000000001000000000000000100000000000000 /f
- '%WINDIR%\syswow64\reg.exe' ADD "HKLM\SYSTEM\CurrentControlSet\Services\DNS-Service\Parameters\AppExit" /t REG_SZ /d "Restart" /f
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKLM\SYSTEM\CurrentControlSet\Services\DNS-Service\Parameters\AppExit" /t REG_SZ /d "Restart" /f& REG ADD "HKLM\SYSTEM\CurrentControlSet\Services\DNS-Service" /v FailureActions /t R...
- '%WINDIR%\syswow64\attrib.exe' -h -s "install.exe"
- '%WINDIR%\syswow64\attrib.exe' -h -s "install.cmd"
