Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] '3CaGsd8r9OF4xaYa15Bod8z53Aer818BVZ363522j8WH0e' = '%WINDIR%\Resources\Themes\aero\Shell\S3s68fjC5bl7cSn43bm28y4AWVt8ckcR3bH6Z2x7a5F89...
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'qweruiuyt' = '%TEMP%\qweruiuyt\qweruiuyt.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\3cagsd8r9of4xaya15bod8z53aer818bvz363522j8wh0e.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
добавляет исключения антивируса с помощью следующих ключей реестра::
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '%ALLUSERSPROFILE%\ctr.exe' = '00000000'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\3CaGsd8r9OF4xaYa15Bod8z53Aer818BVZ363522j8WH0e.exe' = '0000000...
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\Resources\Themes\aero\Shell\S3s68fjC5bl7cSn43bm28y4AWVt8ckcR3bH6Z2x7a5F89a\svchost.exe' = '00000000'
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Создает и запускает на исполнение (эксплоит)
- '%ALLUSERSPROFILE%\ctr.exe'
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%ALLUSERSPROFILE%\ctr.exe" -Force
Внедряет код в
следующие пользовательские процессы:
- 3cagsd8r9of4xaya15bod8z53aer818bvz363522j8wh0e.exe
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\ctr.exe
- %WINDIR%\resources\themes\aero\shell\s3s68fjc5bl7csn43bm28y4awvt8ckcr3bh6z2x7a5f89a\svchost.exe
- %TEMP%\qweruiuyt\qweruiuyt.exe
Сетевая активность
Подключается к
- 'la############x0.s3-ap-southeast-1.amazonaws.com':80
UDP
- DNS ASK la############x0.s3-ap-southeast-1.amazonaws.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\microsoft\windows\start menu\programs\startup\3cagsd8r9of4xaya15bod8z53aer818bvz363522j8wh0e.exe'
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Resources\Themes\aero\Shell\S3s68fjC5bl7cSn43bm28y4AWVt8ckcR3bH6Z2x7a5F89a\svchost.exe" -Force
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%ALLUSERSPROFILE%\ctr.exe" -Force' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\3CaGsd8r9OF4xaYa15Bod8z53Aer818BVZ363522j8WH0e.exe" -Force' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Resources\Themes\aero\Shell\S3s68fjC5bl7cSn43bm28y4AWVt8ckcR3bH6Z2x7a5F89a\svchost.exe" -Force' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\3CaGsd8r9OF4xaYa15Bod8z53Aer818BVZ363522j8WH0e.exe" -Force
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Resources\Themes\aero\Shell\S3s68fjC5bl7cSn43bm28y4AWVt8ckcR3bH6Z2x7a5F89a\svchost.exe" -Force
