Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
- Центр обеспечения безопасности (Security Center)
- Системный антивирус (Защитник Windows)
Загружает и запускает на исполнение
- http://ya####ebolard.tk/pandoraloader.exe как pandoraloader.exe
Изменения в файловой системе
Создает следующие файлы
- C:\pandoraloader.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://ya####ebolard.tk/PandoraLoader.exe
UDP
- DNS ASK ya####ebolard.tk
- DNS ASK google.com
Другое
Создает и запускает на исполнение
- 'C:\pandoraloader.exe'
Запускает на исполнение
- '<SYSTEM32>\sc.exe' stop windefend
- '<SYSTEM32>\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender" /f
- '<SYSTEM32>\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center" /f
- '<SYSTEM32>\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender Security Center" /f
- '<SYSTEM32>\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender" /f
- '<SYSTEM32>\sc.exe' config InstallService Start= disabled
- '<SYSTEM32>\sc.exe' stop InstallService
- '<SYSTEM32>\sc.exe' config WdiSystemHost start= disabled
- '<SYSTEM32>\sc.exe' stop WdiSystemHost
- '<SYSTEM32>\sc.exe' config WdiServiceHost start= disabled
- '<SYSTEM32>\sc.exe' stop WdiServiceHost
- '<SYSTEM32>\sc.exe' config wscsvc start= disabled
- '<SYSTEM32>\sc.exe' stop wscsvc
- '<SYSTEM32>\sc.exe' config SDRSVC start= disabled
- '<SYSTEM32>\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Advanced Threat Protection" /f
- '<SYSTEM32>\sc.exe' stop SDRSVC
- '<SYSTEM32>\sc.exe' config SecurityHealthService start= disabled
- '<SYSTEM32>\sc.exe' stop SecurityHealthService
- '<SYSTEM32>\sc.exe' config WaasMedicSvc start= disabled
- '<SYSTEM32>\sc.exe' stop WaasMedicSvc
- '<SYSTEM32>\sc.exe' config usosvc start= disabled
- '<SYSTEM32>\sc.exe' stop usosvc
- '<SYSTEM32>\sc.exe' config wuauserv start= disabled
- '<SYSTEM32>\sc.exe' stop wuauserv
- '<SYSTEM32>\sc.exe' delete Sense
- '<SYSTEM32>\sc.exe' config Sense start= disabled
- '<SYSTEM32>\sc.exe' stop Sense
- '<SYSTEM32>\sc.exe' delete windefend
- '<SYSTEM32>\sc.exe' config windefend start= disabled
- '<SYSTEM32>\sc.exe' delete SecurityHealthService
- '<SYSTEM32>\reg.exe' delete "HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows Security Health" /f
