Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'a7054.77' = '<SYSTEM32>\cmd.exe /c start %APPDATA%\WinDefender\WindowsDefender\Defender.exe secretkey1978425315264875'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'b5333.707' = '<SYSTEM32>\cmd.exe /c schtasks /run /TN WindowsDefender\DefenderModuleService214B'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'c5794.606' = '<SYSTEM32>\cmd.exe /c schtasks /run /TN WindowsDefender\DefenderModuleService214C'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windowsdefender\defendermoduleservice214b
- <SYSTEM32>\tasks\windowsdefenderservice\defendermoduleservice214a
- <SYSTEM32>\tasks\windowsdefenderservice\defendermoduleservice214c
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\Runtime Broker Module Agent] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\Runtime Broker Module Agent] 'ImagePath' = '%APPDATA%\WinSettings\runtimebroker.exe'
Создает следующие сервисы
- 'Runtime Broker Module Agent' %APPDATA%\WinSettings\runtimebroker.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
Запускает на исполнение
- '<SYSTEM32>\net.exe' stop WinDefend
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework64\v4.0.30319\regasm.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\setup kmspico x86-x64.exe
- %TEMP%\bnvk2q3h.cmdline
- %TEMP%\bnvk2q3h.0.vb
- %APPDATA%\windefender\windowsdefender\bvmzxdrxkvrwtjbslhqpjee25756197966
- %APPDATA%\icons\deficon.ico
- %APPDATA%\winsettings\runtimebroker.exe
- %APPDATA%\windefender\windowsdefender\activetime.txt
- %APPDATA%\windefender\windowsdefender\open64
- %TEMP%\hqq2hrhs.dll
- %TEMP%\res3f41.tmp
- %TEMP%\vbc16fcb8accea4d95af4d567fadb95611.tmp
- %TEMP%\vbcd4454f089c1c4329b86e5451efdec2a.tmp
- %TEMP%\hqq2hrhs.out
- %TEMP%\hqq2hrhs.cmdline
- %TEMP%\hqq2hrhs.0.vb
- %TEMP%\is-1hrbc.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-1hrbc.tmp\_isetup\_setup64.tmp
- %TEMP%\setup log 2021-03-15 #001.txt
- %TEMP%\is-arutk.tmp\kms705546.8.tmp
- %APPDATA%\kms705546.8.exe
- %TEMP%\bnvk2q3h.out
- %TEMP%\vbc69ca939096d541e8b493d2befc1c71b1.tmp
Удаляет следующие файлы
- %TEMP%\res3f41.tmp
- %TEMP%\vbc16fcb8accea4d95af4d567fadb95611.tmp
- %TEMP%\vbcd4454f089c1c4329b86e5451efdec2a.tmp
- %TEMP%\hqq2hrhs.out
- %TEMP%\hqq2hrhs.cmdline
- %TEMP%\hqq2hrhs.dll
- %TEMP%\hqq2hrhs.0.vb
- %TEMP%\vbc69ca939096d541e8b493d2befc1c71b1.tmp
- %TEMP%\bnvk2q3h.0.vb
- %TEMP%\bnvk2q3h.cmdline
- %TEMP%\bnvk2q3h.out
- %APPDATA%\windefender\windowsdefender\bvmzxdrxkvrwtjbslhqpjee25756197966
Другое
Создает и запускает на исполнение
- '%APPDATA%\setup kmspico x86-x64.exe'
- '%APPDATA%\kms705546.8.exe'
- '%TEMP%\is-arutk.tmp\kms705546.8.tmp' /SL5="$E0234,2952592,69120,%APPDATA%\kms705546.8.exe"
- '%APPDATA%\winsettings\runtimebroker.exe'
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:AMD64 "/OUT:%TEMP%\RES7D3A.tmp" "%TEMP%\vbc52C9C153FA44DC3B86CB3A554C3D47.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\bnvk2q3h.cmdline"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C schtasks /change /tn WindowsDefenderService\DefenderModuleService214C /enable' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C schtasks /create /f /sc onlogon /rl highest /tn WindowsDefenderService\DefenderModuleService214C /tr "\"<SYSTEM32>\WindowsPowerShell\v1.0\powershell.exe\" net start 'Runtime Broker Module Ag...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C schtasks /change /tn WindowsDefenderService\DefenderModuleService214A /enable' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C schtasks /create /f /sc once /sd 01/01/2190 /st 14:30 /rl highest /tn WindowsDefenderService\DefenderModuleService214A /tr "\"%APPDATA%\WinSettings\runtimemodule.exe\" secretkey1978425315264...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C schtasks /run /TN WindowsDefenderService\DefenderModuleService214B' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' /C net start 'Runtime Broker Module Agent'' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C sc.exe failure "Runtime Broker Module Agent" command= "\"%APPDATA%\WinDefender\WindowsDefender\Defender.exe\" secretkey1978425315264875" actions= run/5000 reset= 0' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C sc.exe failureflag "Runtime Broker Module Agent" 1' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' /C $settingsSet = New-ScheduledTaskSettingsSet -DontStopIfGoingOnBatteries -AllowStartIfOnBatteries -Priority 0 -StartWhenAvailable -DisallowHardTerminate;$settingsSet.ExecutionTimeLimit = 'PT0...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C sc.exe create "Runtime Broker Module Agent" BinPath= "%APPDATA%\WinSettings\runtimebroker.exe" start= delayed-auto' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C schtasks /change /tn WindowsDefender\DefenderModuleService214B /enable' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C schtasks /create /f /sc onlogon /rl highest /tn WindowsDefender\DefenderModuleService214B /tr "\"%APPDATA%\WinDefender\WindowsDefender\Defender.exe\" secretkey1978425315264875"' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' /C net start 'Schedule'' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' /C net stop 'WinDefend'' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C powercfg /s 8c5e7fda-e8bf-4a96-9a85-a6e23a8c635c;POWERCFG /CHANGE disk-timeout-ac 0;POWERCFG /CHANGE standby-timeout-ac 0;POWERCFG /CHANGE hibernate-timeout-ac 0;POWERCFG /CHANGE monitor-tim...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' /C REG ADD HKLM\Software\ModuleManagerSettingsv0.1.2.8 /f /v appdata /t REG_MULTI_SZ /d %APPDATA%\WinDefender\WindowsDefender\Defender.exe' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:AMD64 "/OUT:%TEMP%\RES3F41.tmp" "%TEMP%\vbc16FCB8ACCEA4D95AF4D567FADB95611.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\hqq2hrhs.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\wte4xnz5.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6CC6.tmp" "%TEMP%\vbcF46503BDF9FD422780F849C65B3B0FD.TMP"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\hqq2hrhs.cmdline"
- '<SYSTEM32>\cmd.exe' /C sc.exe failureflag "Runtime Broker Module Agent" 1
- '<SYSTEM32>\sc.exe' failureflag "Runtime Broker Module Agent" 1
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' /C net start 'Runtime Broker Module Agent'
- '<SYSTEM32>\net.exe' start "Runtime Broker Module Agent"
- '<SYSTEM32>\net1.exe' start "Runtime Broker Module Agent"
- '<SYSTEM32>\cmd.exe' /C schtasks /run /TN WindowsDefenderService\DefenderModuleService214B
- '<SYSTEM32>\schtasks.exe' /run /TN WindowsDefenderService\DefenderModuleService214B
- '<SYSTEM32>\cmd.exe' /C schtasks /create /f /sc once /sd 01/01/2190 /st 14:30 /rl highest /tn WindowsDefenderService\DefenderModuleService214A /tr "\"%APPDATA%\WinSettings\runtimemodule.exe\" secretkey1978425315264...
- '<SYSTEM32>\schtasks.exe' /create /f /sc once /sd 01/01/2190 /st 14:30 /rl highest /tn WindowsDefenderService\DefenderModuleService214A /tr "\"%APPDATA%\WinSettings\runtimemodule.exe\" secretkey1978425315264875"
- '<SYSTEM32>\cmd.exe' /C schtasks /change /tn WindowsDefenderService\DefenderModuleService214A /enable
- '<SYSTEM32>\schtasks.exe' /change /tn WindowsDefenderService\DefenderModuleService214A /enable
- '<SYSTEM32>\cmd.exe' /C schtasks /create /f /sc onlogon /rl highest /tn WindowsDefenderService\DefenderModuleService214C /tr "\"<SYSTEM32>\WindowsPowerShell\v1.0\powershell.exe\" net start 'Runtime Broker Module Ag...
- '<SYSTEM32>\schtasks.exe' /create /f /sc onlogon /rl highest /tn WindowsDefenderService\DefenderModuleService214C /tr "\"<SYSTEM32>\WindowsPowerShell\v1.0\powershell.exe\" net start 'Runtime Broker Module Agent'"
- '<SYSTEM32>\cmd.exe' /C schtasks /change /tn WindowsDefenderService\DefenderModuleService214C /enable
- '<SYSTEM32>\schtasks.exe' /change /tn WindowsDefenderService\DefenderModuleService214C /enable
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\bnvk2q3h.cmdline"
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:AMD64 "/OUT:%TEMP%\RES7D3A.tmp" "%TEMP%\vbc52C9C153FA44DC3B86CB3A554C3D47.TMP"
- '<SYSTEM32>\sc.exe' failure "Runtime Broker Module Agent" command= "\"%APPDATA%\WinDefender\WindowsDefender\Defender.exe\" secretkey1978425315264875" actions= run/5000 reset= 0
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\vbc.exe' /noconfig @"%TEMP%\wte4xnz5.cmdline"
- '<SYSTEM32>\cmd.exe' /C sc.exe failure "Runtime Broker Module Agent" command= "\"%APPDATA%\WinDefender\WindowsDefender\Defender.exe\" secretkey1978425315264875" actions= run/5000 reset= 0
- '<SYSTEM32>\cmd.exe' /C sc.exe create "Runtime Broker Module Agent" BinPath= "%APPDATA%\WinSettings\runtimebroker.exe" start= delayed-auto
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:AMD64 "/OUT:%TEMP%\RES3F41.tmp" "%TEMP%\vbc16FCB8ACCEA4D95AF4D567FADB95611.TMP"
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\regasm.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' /C REG ADD HKLM\Software\ModuleManagerSettingsv0.1.2.8 /f /v appdata /t REG_MULTI_SZ /d %APPDATA%\WinDefender\WindowsDefender\Defender.exe
- '<SYSTEM32>\reg.exe' ADD HKLM\Software\ModuleManagerSettingsv0.1.2.8 /f /v appdata /t REG_MULTI_SZ /d %APPDATA%\WinDefender\WindowsDefender\Defender.exe
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Get-MpPreference -verbose
- '<SYSTEM32>\cmd.exe' /C powercfg /s 8c5e7fda-e8bf-4a96-9a85-a6e23a8c635c;POWERCFG /CHANGE disk-timeout-ac 0;POWERCFG /CHANGE standby-timeout-ac 0;POWERCFG /CHANGE hibernate-timeout-ac 0;POWERCFG /CHANGE monitor-tim...
- '<SYSTEM32>\powercfg.exe' /s 8c5e7fda-e8bf-4a96-9a85-a6e23a8c635c;POWERCFG /CHANGE disk-timeout-ac 0;POWERCFG /CHANGE standby-timeout-ac 0;POWERCFG /CHANGE hibernate-timeout-ac 0;POWERCFG /CHANGE monitor-timeout-ac 0;ne...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' /C net stop 'WinDefend'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' /C net start 'Schedule'
- '<SYSTEM32>\net.exe' start Schedule
- '<SYSTEM32>\net1.exe' stop WinDefend
- '<SYSTEM32>\net1.exe' start Schedule
- '<SYSTEM32>\cmd.exe' /C schtasks /create /f /sc onlogon /rl highest /tn WindowsDefender\DefenderModuleService214B /tr "\"%APPDATA%\WinDefender\WindowsDefender\Defender.exe\" secretkey1978425315264875"
- '<SYSTEM32>\schtasks.exe' /create /f /sc onlogon /rl highest /tn WindowsDefender\DefenderModuleService214B /tr "\"%APPDATA%\WinDefender\WindowsDefender\Defender.exe\" secretkey1978425315264875"
- '<SYSTEM32>\cmd.exe' /C schtasks /change /tn WindowsDefender\DefenderModuleService214B /enable
- '<SYSTEM32>\schtasks.exe' /change /tn WindowsDefender\DefenderModuleService214B /enable
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' /C $settingsSet = New-ScheduledTaskSettingsSet -DontStopIfGoingOnBatteries -AllowStartIfOnBatteries -Priority 0 -StartWhenAvailable -DisallowHardTerminate;$settingsSet.ExecutionTimeLimit = 'PT0...
- '<SYSTEM32>\sc.exe' create "Runtime Broker Module Agent" BinPath= "%APPDATA%\WinSettings\runtimebroker.exe" start= delayed-auto
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES6CC6.tmp" "%TEMP%\vbcF46503BDF9FD422780F849C65B3B0FD.TMP"
