Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] '08ywab0Cee0Ffh7VZege46b0d' = '%WINDIR%\Resources\Themes\aero\Shell\n0YBGOg35d\svchost.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'qweruiuyt' = '%TEMP%\qweruiuyt\qweruiuyt.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\08ywab0cee0ffh7vzege46b0d.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
добавляет исключения антивируса с помощью следующих ключей реестра::
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '%APPDATA%\cmd.exe' = '00000000'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\08ywab0Cee0Ffh7VZege46b0d.exe' = '00000000'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\Resources\Themes\aero\Shell\n0YBGOg35d\svchost.exe' = '00000000'
Создает и запускает на исполнение (эксплоит)
- '%APPDATA%\cmd.exe'
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\cmd.exe" -Force
Внедряет код в
следующие пользовательские процессы:
- 08ywab0cee0ffh7vzege46b0d.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\cmd.exe
- %WINDIR%\resources\themes\aero\shell\n0ybgog35d\svchost.exe
- %TEMP%\qweruiuyt\qweruiuyt.exe
Сетевая активность
Подключается к
- 'mi######.#3-us-west-2.amazonaws.com':80
UDP
- DNS ASK mi######.#3-us-west-2.amazonaws.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\microsoft\windows\start menu\programs\startup\08ywab0cee0ffh7vzege46b0d.exe'
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Resources\Themes\aero\Shell\n0YBGOg35d\svchost.exe" -Force
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\cmd.exe" -Force' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\08ywab0Cee0Ffh7VZege46b0d.exe" -Force' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Resources\Themes\aero\Shell\n0YBGOg35d\svchost.exe" -Force' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\08ywab0Cee0Ffh7VZege46b0d.exe" -Force
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Resources\Themes\aero\Shell\n0YBGOg35d\svchost.exe" -Force
