Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
добавляет исключения антивируса с помощью следующих ключей реестра::
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '<Полный путь к файлу>' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\ಕಀಟಮ಄ಘಮಃಷತಪಮಃಘಇವಧಲಠಬಆಈಏ\<Имя файла>.exe_url_vj1lhgpbagowftzv2eyyltxbc1e2zwo0\5.317.215.824\bzgeergc.newcfg
- %TEMP%\f60407d3-5a1f-4a72-a212-6e242a4c4587\advancedrun.exe
- %TEMP%\f60407d3-5a1f-4a72-a212-6e242a4c4587\test.bat
- %TEMP%\596392fc-2421-410d-a748-c64c99843260\d24db7b8-a8a5-4010-8de0-1017004d16c3.exe
Удаляет следующие файлы
- %TEMP%\f60407d3-5a1f-4a72-a212-6e242a4c4587\advancedrun.exe
- %TEMP%\f60407d3-5a1f-4a72-a212-6e242a4c4587\test.bat
- %TEMP%\596392fc-2421-410d-a748-c64c99843260\d24db7b8-a8a5-4010-8de0-1017004d16c3.exe
Перемещает следующие файлы
- %LOCALAPPDATA%\ಕಀಟಮ಄ಘಮಃಷತಪಮಃಘಇವಧಲಠಬಆಈಏ\<Имя файла>.exe_url_vj1lhgpbagowftzv2eyyltxbc1e2zwo0\5.317.215.824\bzgeergc.newcfg в %LOCALAPPDATA%\ಕಀಟಮ಄ಘಮಃಷತಪಮಃಘಇವಧಲಠಬಆಈಏ\<Имя файла>.exe_url_vj1lhgpbagowftzv2eyyltxbc1e2zwo0\5.317.215.824\user.config
Сетевая активность
Подключается к
- 'li########abestteamoftheworld.com':80
- 'li########abestteamoftheworld.com':443
TCP
Запросы HTTP GET
- http://li########abestteamoftheworld.com/liverpool-fc-news/features/steven-gerrard-liverpool-future-dalglish--goal-D43DA695A9F9B322C86C04270BFEE3DD.html
UDP
- DNS ASK li########abestteamoftheworld.com
Другое
Создает и запускает на исполнение
- '%TEMP%\f60407d3-5a1f-4a72-a212-6e242a4c4587\advancedrun.exe' /EXEFilename "%TEMP%\f60407d3-5a1f-4a72-a212-6e242a4c4587\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run
- '%TEMP%\f60407d3-5a1f-4a72-a212-6e242a4c4587\advancedrun.exe' /SpecialRun 4101d8 1592
- '%TEMP%\596392fc-2421-410d-a748-c64c99843260\d24db7b8-a8a5-4010-8de0-1017004d16c3.exe' /EXEFilename "<Полный путь к файлу>" /WindowState ""1"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run
- '%TEMP%\596392fc-2421-410d-a748-c64c99843260\d24db7b8-a8a5-4010-8de0-1017004d16c3.exe' /SpecialRun 4101d8 2200
- '%TEMP%\f60407d3-5a1f-4a72-a212-6e242a4c4587\advancedrun.exe' /EXEFilename "%TEMP%\f60407d3-5a1f-4a72-a212-6e242a4c4587\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>" -Force' (со скрытым окном)
- '%TEMP%\596392fc-2421-410d-a748-c64c99843260\d24db7b8-a8a5-4010-8de0-1017004d16c3.exe' /EXEFilename "<Полный путь к файлу>" /WindowState ""1"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>" -Force
