Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'zfvAHrT' = 'C:\Users\Public\Documents\tIqJSKtNhcbuiXxtNufutyzlV\svchost.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\zfvahrt.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
добавляет исключения антивируса с помощью следующих ключей реестра::
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '<Полный путь к файлу>' = '00000000'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\zfvAHrT.exe' = '00000000'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] 'C:\Users\Public\Documents\tIqJSKtNhcbuiXxtNufutyzlV\svchost.exe' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\㨕㨞㨻㩂㨔㨏㨼㨱㨟㨎㨾㩁㩀㨻㨿㨝㨾㨠㨳㨴㨢㩃㨸㨫㨘\<Имя файла>.exe_url_4xjsb2zo04nkwzaa553lcj1pg50viwuo\6.313.81.208\c3r3kfmn.newcfg
- %TEMP%\1e114796-5b19-4940-b2ad-da2b87e823ee\advancedrun.exe
- %TEMP%\1e114796-5b19-4940-b2ad-da2b87e823ee\test.bat
- C:\users\public\documents\tiqjsktnhcbuixxtnufutyzlv\svchost.exe
- %TEMP%\e331d805-d305-48d9-9729-95b975a90c62\92ed353e-b5b2-4ce0-8805-c19b8b6297ac.exe
- %LOCALAPPDATA%\㨕㨞㨻㩂㨔㨏㨼㨱㨟㨎㨾㩁㩀㨻㨿㨝㨾㨠㨳㨴㨢㩃㨸㨫㨘\zfvahrt.exe_url_bbgolfnx0nzxlfjzvfdawxoc5dwvi2ly\6.313.81.208\vbz3w5qf.newcfg
- %TEMP%\b81bf72a-a331-44d9-a43a-3343080f21ef\advancedrun.exe
- %TEMP%\b81bf72a-a331-44d9-a43a-3343080f21ef\test.bat
- %TEMP%\48f288c1-91ae-4528-98af-e32c0df24d94\88ffd95a-afbc-4c5a-9467-d9d6317e37b6.exe
Удаляет следующие файлы
- %TEMP%\1e114796-5b19-4940-b2ad-da2b87e823ee\advancedrun.exe
- %TEMP%\1e114796-5b19-4940-b2ad-da2b87e823ee\test.bat
- %TEMP%\e331d805-d305-48d9-9729-95b975a90c62\92ed353e-b5b2-4ce0-8805-c19b8b6297ac.exe
- %TEMP%\b81bf72a-a331-44d9-a43a-3343080f21ef\advancedrun.exe
- %TEMP%\b81bf72a-a331-44d9-a43a-3343080f21ef\test.bat
- %TEMP%\48f288c1-91ae-4528-98af-e32c0df24d94\88ffd95a-afbc-4c5a-9467-d9d6317e37b6.exe
Перемещает следующие файлы
- %LOCALAPPDATA%\㨕㨞㨻㩂㨔㨏㨼㨱㨟㨎㨾㩁㩀㨻㨿㨝㨾㨠㨳㨴㨢㩃㨸㨫㨘\<Имя файла>.exe_url_4xjsb2zo04nkwzaa553lcj1pg50viwuo\6.313.81.208\c3r3kfmn.newcfg в %LOCALAPPDATA%\㨕㨞㨻㩂㨔㨏㨼㨱㨟㨎㨾㩁㩀㨻㨿㨝㨾㨠㨳㨴㨢㩃㨸㨫㨘\<Имя файла>.exe_url_4xjsb2zo04nkwzaa553lcj1pg50viwuo\6.313.81.208\user.config
- %LOCALAPPDATA%\㨕㨞㨻㩂㨔㨏㨼㨱㨟㨎㨾㩁㩀㨻㨿㨝㨾㨠㨳㨴㨢㩃㨸㨫㨘\zfvahrt.exe_url_bbgolfnx0nzxlfjzvfdawxoc5dwvi2ly\6.313.81.208\vbz3w5qf.newcfg в %LOCALAPPDATA%\㨕㨞㨻㩂㨔㨏㨼㨱㨟㨎㨾㩁㩀㨻㨿㨝㨾㨠㨳㨴㨢㩃㨸㨫㨘\zfvahrt.exe_url_bbgolfnx0nzxlfjzvfdawxoc5dwvi2ly\6.313.81.208\user.config
Сетевая активность
Подключается к
- 'li########abestteamoftheworld.com':80
- 'li########abestteamoftheworld.com':443
TCP
Запросы HTTP GET
- http://li########abestteamoftheworld.com/liverpool-fc-news/features/steven-gerrard-liverpool-future-dalglish--goal-01954EB032A214276514EA51CEEA99F6.html
UDP
- DNS ASK li########abestteamoftheworld.com
Другое
Создает и запускает на исполнение
- '%TEMP%\1e114796-5b19-4940-b2ad-da2b87e823ee\advancedrun.exe' /EXEFilename "%TEMP%\1e114796-5b19-4940-b2ad-da2b87e823ee\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run
- '%TEMP%\e331d805-d305-48d9-9729-95b975a90c62\92ed353e-b5b2-4ce0-8805-c19b8b6297ac.exe' /SpecialRun 4101d8 2092
- '%TEMP%\b81bf72a-a331-44d9-a43a-3343080f21ef\advancedrun.exe' /SpecialRun 4101d8 2508
- '%TEMP%\b81bf72a-a331-44d9-a43a-3343080f21ef\advancedrun.exe' /EXEFilename "%TEMP%\b81bf72a-a331-44d9-a43a-3343080f21ef\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run
- '%TEMP%\1e114796-5b19-4940-b2ad-da2b87e823ee\advancedrun.exe' /SpecialRun 4101d8 2280
- '%TEMP%\48f288c1-91ae-4528-98af-e32c0df24d94\88ffd95a-afbc-4c5a-9467-d9d6317e37b6.exe' /EXEFilename "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\zfvAHrT.exe" /WindowState ""1"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run
- '%TEMP%\e331d805-d305-48d9-9729-95b975a90c62\92ed353e-b5b2-4ce0-8805-c19b8b6297ac.exe' /EXEFilename "<Полный путь к файлу>" /WindowState ""1"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run
- '%APPDATA%\microsoft\windows\start menu\programs\startup\zfvahrt.exe'
- '%TEMP%\48f288c1-91ae-4528-98af-e32c0df24d94\88ffd95a-afbc-4c5a-9467-d9d6317e37b6.exe' /SpecialRun 4101d8 644
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "C:\Users\Public\Documents\tIqJSKtNhcbuiXxtNufutyzlV\svchost.exe" -Force
- '%TEMP%\b81bf72a-a331-44d9-a43a-3343080f21ef\advancedrun.exe' /EXEFilename "%TEMP%\b81bf72a-a331-44d9-a43a-3343080f21ef\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run' (со скрытым окном)
- '%TEMP%\1e114796-5b19-4940-b2ad-da2b87e823ee\advancedrun.exe' /EXEFilename "%TEMP%\1e114796-5b19-4940-b2ad-da2b87e823ee\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run' (со скрытым окном)
- '%TEMP%\48f288c1-91ae-4528-98af-e32c0df24d94\88ffd95a-afbc-4c5a-9467-d9d6317e37b6.exe' /EXEFilename "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\zfvAHrT.exe" /WindowState ""1"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run' (со скрытым окном)
- '%TEMP%\e331d805-d305-48d9-9729-95b975a90c62\92ed353e-b5b2-4ce0-8805-c19b8b6297ac.exe' /EXEFilename "<Полный путь к файлу>" /WindowState ""1"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\zfvAHrT.exe" -Force' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>" -Force' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "C:\Users\Public\Documents\tIqJSKtNhcbuiXxtNufutyzlV\svchost.exe" -Force' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>" -Force
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\zfvAHrT.exe" -Force
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "C:\Users\Public\Documents\tIqJSKtNhcbuiXxtNufutyzlV\svchost.exe" -Force
