Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run\] 'WinStore.App' = '"%APPDATA%\WinStore.App.exe"'
Создает или изменяет следующие файлы
- %HOMEPATH%\start menu\programs\startup\microsoft edge.exe
- %HOMEPATH%\start menu\programs\startup\process.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\microsoft edge.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\process.exe
- %HOMEPATH%\start menu\programs\startup\defender.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\defender.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\temp.exe
- %TEMP%\aut5d8a.tmp
- %TEMP%\tbbzxje
- %WINDIR%\temp\aut67b7.tmp
- %WINDIR%\temp\vbtvxhx
- %TEMP%\hwidspoofer.exe
- %APPDATA%\winstore.app.exe
- %TEMP%\anticheat.exe
- %TEMP%\9481.tmp\9482.tmp\9483.bat
- %APPDATA%\microsoft edge.exe
- %APPDATA%\process.exe
- %TEMP%\ingamegui-temp.exe
- %TEMP%\a4f5.tmp\a4f6.tmp\a4f7.bat
- %APPDATA%\defender.exe
- %TEMP%\pmstart.exe
Удаляет следующие файлы
- %TEMP%\aut5d8a.tmp
- %TEMP%\tbbzxje
- %WINDIR%\temp\aut67b7.tmp
- %WINDIR%\temp\vbtvxhx
- %APPDATA%\microsoft edge.exe
- %APPDATA%\process.exe
- %TEMP%\9481.tmp\9482.tmp\9483.bat
- %APPDATA%\defender.exe
- %TEMP%\a4f5.tmp\a4f6.tmp\a4f7.bat
Подменяет следующие файлы
- %ALLUSERSPROFILE%\ntuser.pol
- %HOMEPATH%\ntuser.pol
- %ALLUSERSPROFILE%\tempntuser.pol
- %APPDATA%\process.exe
Сетевая активность
Подключается к
- 'pa###bin.com':443
- 'cd#.##scordapp.com':443
TCP
- 'pa###bin.com':443
- 'cd#.##scordapp.com':443
UDP
- DNS ASK pa###bin.com
- DNS ASK cd#.##scordapp.com
Другое
Создает и запускает на исполнение
- '%TEMP%\temp.exe' /D "System.Byte[]" "System.Byte[]"
- '%TEMP%\temp.exe' /SYS 1
- '%TEMP%\hwidspoofer.exe'
- '%TEMP%\anticheat.exe'
- '%TEMP%\ingamegui-temp.exe'
- '%APPDATA%\winstore.app.exe'
- '%TEMP%\pmstart.exe' -pool eu1.ethermine.org:4444 -wal 0x71fdcc0327cf3af2083cb3f1ca115087067caaf1 -worker WEwX6lDs -log 0 -fcm 0 -powlim 75
- '%WINDIR%\syswow64\cmd.exe' /C temp.exe /D "System.Byte[]" "System.Byte[]"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C TIMEOUT /T 5 /NOBREAK && "%APPDATA%\WinStore.App.exe"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\9481.tmp\9482.tmp\9483.bat %TEMP%\AntiCheat.exe"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\A4F5.tmp\A4F6.tmp\A4F7.bat %TEMP%\InGameGUI-Temp.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C "%TEMP%\pmstart.exe" -pool eu1.ethermine.org:4444 -wal 0x71fdcc0327cf3af2083cb3f1ca115087067caaf1 -worker WEwX6lDs -log 0 -fcm 0 -powlim 75' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C temp.exe /D "System.Byte[]" "System.Byte[]"
- '<SYSTEM32>\svchost.exe' -k secsvcs
- '<SYSTEM32>\gpscript.exe' /RefreshSystemParam
- '%WINDIR%\syswow64\cmd.exe' /C TIMEOUT /T 5 /NOBREAK && "%APPDATA%\WinStore.App.exe"
- '%WINDIR%\syswow64\timeout.exe' /T 5 /NOBREAK
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\9481.tmp\9482.tmp\9483.bat %TEMP%\AntiCheat.exe"
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\A4F5.tmp\A4F6.tmp\A4F7.bat %TEMP%\InGameGUI-Temp.exe"
- '<SYSTEM32>\raserver.exe' /offerraupdate
- '%WINDIR%\syswow64\cmd.exe' /C "%TEMP%\pmstart.exe" -pool eu1.ethermine.org:4444 -wal 0x71fdcc0327cf3af2083cb3f1ca115087067caaf1 -worker WEwX6lDs -log 0 -fcm 0 -powlim 75
