Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'khjEfaSrHOJRmbfk' = '%WINDIR%\Cursors\qGZXDqM\svchost.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\khjefasrhojrmbfk.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
добавляет исключения антивируса с помощью следующих ключей реестра::
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '<Полный путь к файлу>' = '00000000'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\khjEfaSrHOJRmbfk.exe' = '00000000'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\Cursors\qGZXDqM\svchost.exe' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\ꢰꣁꢯ꣗꣢ꢶ꣧꣙꣦꣑ꢸꢴ꣔꣧꣑ꢲꢻ꣖꣨꣧꣤ꢲꣁꢵ\<Имя файла>.exe_url_3fdxfvf2b2yitmmnvgw43hatx024z3fm\4.54.321.729\b05ztpwg.newcfg
- %TEMP%\fe3eacc7-6baf-4596-bcb7-671c928dd902\advancedrun.exe
- %TEMP%\fe3eacc7-6baf-4596-bcb7-671c928dd902\test.bat
- %WINDIR%\cursors\qgzxdqm\svchost.exe
- %TEMP%\a4be45e3-1335-4ae2-8abe-4bef99f4d73b\3377e95a-60be-4860-835b-52c3bcb27111.exe
- %LOCALAPPDATA%\ꢰꣁꢯ꣗꣢ꢶ꣧꣙꣦꣑ꢸꢴ꣔꣧꣑ꢲꢻ꣖꣨꣧꣤ꢲꣁꢵ\khjefasrhojrmbfk.exe_url_r2h55xnkulwlqwfjahq51wu1kowwvzod\4.54.321.729\f3hge5gm.newcfg
- %TEMP%\38a51183-71cf-4077-bbbf-d24e7da7906c\advancedrun.exe
- %TEMP%\38a51183-71cf-4077-bbbf-d24e7da7906c\test.bat
Удаляет следующие файлы
- %TEMP%\fe3eacc7-6baf-4596-bcb7-671c928dd902\advancedrun.exe
- %TEMP%\fe3eacc7-6baf-4596-bcb7-671c928dd902\test.bat
- %TEMP%\a4be45e3-1335-4ae2-8abe-4bef99f4d73b\3377e95a-60be-4860-835b-52c3bcb27111.exe
- %TEMP%\38a51183-71cf-4077-bbbf-d24e7da7906c\advancedrun.exe
- %TEMP%\38a51183-71cf-4077-bbbf-d24e7da7906c\test.bat
Перемещает следующие файлы
- %LOCALAPPDATA%\ꢰꣁꢯ꣗꣢ꢶ꣧꣙꣦꣑ꢸꢴ꣔꣧꣑ꢲꢻ꣖꣨꣧꣤ꢲꣁꢵ\<Имя файла>.exe_url_3fdxfvf2b2yitmmnvgw43hatx024z3fm\4.54.321.729\b05ztpwg.newcfg в %LOCALAPPDATA%\ꢰꣁꢯ꣗꣢ꢶ꣧꣙꣦꣑ꢸꢴ꣔꣧꣑ꢲꢻ꣖꣨꣧꣤ꢲꣁꢵ\<Имя файла>.exe_url_3fdxfvf2b2yitmmnvgw43hatx024z3fm\4.54.321.729\user.config
- %LOCALAPPDATA%\ꢰꣁꢯ꣗꣢ꢶ꣧꣙꣦꣑ꢸꢴ꣔꣧꣑ꢲꢻ꣖꣨꣧꣤ꢲꣁꢵ\khjefasrhojrmbfk.exe_url_r2h55xnkulwlqwfjahq51wu1kowwvzod\4.54.321.729\f3hge5gm.newcfg в %LOCALAPPDATA%\ꢰꣁꢯ꣗꣢ꢶ꣧꣙꣦꣑ꢸꢴ꣔꣧꣑ꢲꢻ꣖꣨꣧꣤ꢲꣁꢵ\khjefasrhojrmbfk.exe_url_r2h55xnkulwlqwfjahq51wu1kowwvzod\4.54.321.729\user.config
Сетевая активность
Подключается к
- 'li########abestteamoftheworld.com':80
- 'li########abestteamoftheworld.com':443
TCP
Запросы HTTP GET
- http://li########abestteamoftheworld.com/liverpool-fc-news/features/steven-gerrard-liverpool-future-dalglish--goal-898654EFE65BF32249D9F789965C902B.html
- http://li########abestteamoftheworld.com/liverpool-fc-news/features/steven-gerrard-liverpool-future-dalglish--goal-30EA380D79DF3365654040DC00805FA5.html
- http://li########abestteamoftheworld.com/liverpool-fc-news/features/steven-gerrard-liverpool-future-dalglish--goal-5B5FBDE07CAE5C93BF05B32E2C396E3C.html
UDP
- DNS ASK li########abestteamoftheworld.com
Другое
Создает и запускает на исполнение
- '%TEMP%\fe3eacc7-6baf-4596-bcb7-671c928dd902\advancedrun.exe' /EXEFilename "%TEMP%\fe3eacc7-6baf-4596-bcb7-671c928dd902\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run
- '%TEMP%\fe3eacc7-6baf-4596-bcb7-671c928dd902\advancedrun.exe' /SpecialRun 4101d8 2948
- '%APPDATA%\microsoft\windows\start menu\programs\startup\khjefasrhojrmbfk.exe'
- '%TEMP%\a4be45e3-1335-4ae2-8abe-4bef99f4d73b\3377e95a-60be-4860-835b-52c3bcb27111.exe' /EXEFilename "<Полный путь к файлу>" /WindowState ""1"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run
- '%TEMP%\a4be45e3-1335-4ae2-8abe-4bef99f4d73b\3377e95a-60be-4860-835b-52c3bcb27111.exe' /SpecialRun 4101d8 2684
- '%TEMP%\38a51183-71cf-4077-bbbf-d24e7da7906c\advancedrun.exe' /EXEFilename "%TEMP%\38a51183-71cf-4077-bbbf-d24e7da7906c\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run
- '%TEMP%\38a51183-71cf-4077-bbbf-d24e7da7906c\advancedrun.exe' /SpecialRun 4101d8 504
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Cursors\qGZXDqM\svchost.exe" -Force
- '%TEMP%\fe3eacc7-6baf-4596-bcb7-671c928dd902\advancedrun.exe' /EXEFilename "%TEMP%\fe3eacc7-6baf-4596-bcb7-671c928dd902\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>" -Force' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\khjEfaSrHOJRmbfk.exe" -Force' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Cursors\qGZXDqM\svchost.exe" -Force' (со скрытым окном)
- '%TEMP%\a4be45e3-1335-4ae2-8abe-4bef99f4d73b\3377e95a-60be-4860-835b-52c3bcb27111.exe' /EXEFilename "<Полный путь к файлу>" /WindowState ""1"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run' (со скрытым окном)
- '%TEMP%\38a51183-71cf-4077-bbbf-d24e7da7906c\advancedrun.exe' /EXEFilename "%TEMP%\38a51183-71cf-4077-bbbf-d24e7da7906c\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run' (со скрытым окном)
- '%TEMP%\2d3411a1-da65-4b00-a59a-ac4d1e152ff0\854a0b7e-d7b0-4973-900d-1b5ba3480b26.exe' /EXEFilename "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\khjEfaSrHOJRmbfk.exe" /WindowState ""1"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>" -Force
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\khjEfaSrHOJRmbfk.exe" -Force
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Cursors\qGZXDqM\svchost.exe" -Force
