Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\pcidump] 'ImagePath' = '<DRIVERS>\pcidump.sys'
Создает следующие сервисы
- 'AsyncMac' <DRIVERS>\AsyncMac.sys
- 'pcidump' <DRIVERS>\pcidump.sys
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /im ekrn.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im egui.exe /f
- '%WINDIR%\syswow64\net.exe' stop wscsvc
- '%WINDIR%\syswow64\net.exe' stop SharedAccess
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\tete1175997t.dll
- %WINDIR%\syswow64\drivers\asyncmac.sys
- C:\autorun.inf
- C:\recycle.{645ff040-5081-101b-9f08-00aa002f954e}\rav32.exe
- %WINDIR%\extext1191067t.exe
- %WINDIR%\syswow64\drivers\pcidump.sys
- %WINDIR%\syswow64\scvhost.exe
- <Текущая директория>\afc90a.bat
- <Текущая директория>\321.aqq
Присваивает атрибут 'скрытый' для следующих файлов
- C:\autorun.inf
Удаляет следующие файлы
- %WINDIR%\syswow64\drivers\asyncmac.sys
- %WINDIR%\tete1175997t.dll
- %WINDIR%\syswow64\drivers\pcidump.sys
- <Текущая директория>\321.aqq
Самоудаляется.
Другое
Ищет следующие окна
- ClassName: 'Notepad' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\extext1191067t.exe'
- '%WINDIR%\syswow64\notepad.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c sc config ekrn start= disabled' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill.exe /im ekrn.exe /f' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill.exe /im egui.exe /f' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c net stop wscsvc' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c net stop SharedAccess' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c sc config sharedaccess start= disabled' (со скрытым окном)
- '%WINDIR%\extext1191067t.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c afc90a.bat' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\notepad.exe'
- '%WINDIR%\syswow64\cmd.exe' /c sc config ekrn start= disabled
- '%WINDIR%\syswow64\sc.exe' config ekrn start= disabled
- '%WINDIR%\syswow64\cmd.exe' /c taskkill.exe /im ekrn.exe /f
- '%WINDIR%\syswow64\cmd.exe' /c taskkill.exe /im egui.exe /f
- '%WINDIR%\syswow64\rundll32.exe' %WINDIR%\tete1175997t.dll testall
- '%WINDIR%\syswow64\cmd.exe' /c net stop wscsvc
- '%WINDIR%\syswow64\net1.exe' stop wscsvc
- '%WINDIR%\syswow64\cmd.exe' /c net stop SharedAccess
- '%WINDIR%\syswow64\net1.exe' stop SharedAccess
- '%WINDIR%\syswow64\cmd.exe' /c sc config sharedaccess start= disabled
- '%WINDIR%\syswow64\sc.exe' config sharedaccess start= disabled
- '%WINDIR%\syswow64\cmd.exe' /c afc90a.bat
