Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'Evil.exe'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\<Имя файла>.exe
- %WINDIR%\evil2.exe
- <SYSTEM32>\xcyz.dll
Самоперемещается
- из <Полный путь к файлу> в %WINDIR%\evil.exe
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /k color 47 && takeown /f %WINDIR% && icacls %WINDIR% /grant %username%:F && takeown /f <SYSTEM32> && icacls <SYSTEM32> /grant %username%:F && Exit
- '<SYSTEM32>\takeown.exe' /f %WINDIR%
- '<SYSTEM32>\icacls.exe' %WINDIR% /grant user:F
- '<SYSTEM32>\takeown.exe' /f <SYSTEM32>
- '<SYSTEM32>\icacls.exe' <SYSTEM32> /grant user:F
