Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %HOMEPATH%\start menu\programs\startup\defender.exe
- %HOMEPATH%\start menu\programs\startup\process.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\defender.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\process.exe
- %HOMEPATH%\start menu\programs\startup\microsoft edge.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\microsoft edge.exe
- <SYSTEM32>\tasks\windowsupdate
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\spoofmaster.exe
- %TEMP%\defender.exe
- %TEMP%\aut473c.tmp
- %TEMP%\dmkchvn
- %WINDIR%\temp\aut50fc.tmp
- %WINDIR%\temp\oijxsjh
- %TEMP%\spooferhwid.exe
- %TEMP%\61be.tmp\61bf.tmp\61c0.bat
- %APPDATA%\defender.exe
- %APPDATA%\process.exe
- %TEMP%\hwidcleaner.exe
- %TEMP%\7b85.tmp\7b96.tmp\7b97.bat
- %APPDATA%\microsoft edge.exe
- %TEMP%\sp00fer.exe
- %TEMP%\system.exe
Удаляет следующие файлы
- %TEMP%\aut473c.tmp
- %TEMP%\dmkchvn
- %TEMP%\defender.exe
- %WINDIR%\temp\aut50fc.tmp
- %WINDIR%\temp\oijxsjh
- %APPDATA%\defender.exe
- %APPDATA%\process.exe
- %TEMP%\61be.tmp\61bf.tmp\61c0.bat
- %APPDATA%\microsoft edge.exe
- %TEMP%\7b85.tmp\7b96.tmp\7b97.bat
- %TEMP%\hwidcleaner.exe
Подменяет следующие файлы
- %ALLUSERSPROFILE%\ntuser.pol
- %HOMEPATH%\ntuser.pol
- %ALLUSERSPROFILE%\tempntuser.pol
- %APPDATA%\process.exe
Сетевая активность
Подключается к
- 'cd#.##scordapp.com':443
TCP
- 'cd#.##scordapp.com':443
UDP
- DNS ASK cd#.##scordapp.com
Другое
Ищет следующие окна
- ClassName: 'VMDragDetectWndClass' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\spoofmaster.exe'
- '%TEMP%\defender.exe' /D
- '%TEMP%\spooferhwid.exe'
- '%TEMP%\hwidcleaner.exe'
- '%TEMP%\sp00fer.exe'
- '%TEMP%\system.exe'
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\61BE.tmp\61BF.tmp\61C0.bat %TEMP%\SpooferHWID.exe"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\7B85.tmp\7B96.tmp\7B97.bat %TEMP%\HWIDCleaner.exe"' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /sc minute /mo 1 /tn WindowsUpdate /tr %TEMP%\System.exe' (со скрытым окном)
- '%TEMP%\system.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\gpscript.exe' /RefreshSystemParam
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\61BE.tmp\61BF.tmp\61C0.bat %TEMP%\SpooferHWID.exe"
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\7B85.tmp\7B96.tmp\7B97.bat %TEMP%\HWIDCleaner.exe"
- '<SYSTEM32>\raserver.exe' /offerraupdate
- '<SYSTEM32>\schtasks.exe' /create /sc minute /mo 1 /tn WindowsUpdate /tr %TEMP%\System.exe
- '<SYSTEM32>\taskeng.exe' {C6766B5D-6E7D-47CC-B438-93DB7E76B04C} S-1-5-21-1960123792-2022915161-3775307078-1001:uqqqxtujr\user:Interactive:[1]
