Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'iexplore' = '"<Текущая директория>\iexplore.exe"'
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'spoolsv' = '"<Текущая директория>\spoolsv.exe"'
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"%ALLUSERSPROFILE%\Templates\firefox.exe"'
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwm' = '"C:\PerfLogs\Admin\dwm.exe"'
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'dwm' = '"<SYSTEM32>\AppIdPolicyEngineApi\dwm.exe"'
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'lsm' = '"<SYSTEM32>\KBDINUK2\lsm.exe"'
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'System' = '"C:\totalcmd\LANGUAGE\System.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\iexplore
- <SYSTEM32>\tasks\spoolsv
- <SYSTEM32>\tasks\firefox
- <SYSTEM32>\tasks\dwm
- <SYSTEM32>\tasks\lsm
- <SYSTEM32>\tasks\system
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\iexplore.exe
- <Текущая директория>\9db6e019d4f04e
- <Текущая директория>\spoolsv.exe
- <Текущая директория>\f3b6ecef712a24
- %ALLUSERSPROFILE%\templates\firefox.exe
- %ALLUSERSPROFILE%\templates\0fc223bdacedc3
- C:\perflogs\admin\dwm.exe
- C:\perflogs\admin\6cb0b6c459d5d3
- <SYSTEM32>\appidpolicyengineapi\dwm.exe
- <SYSTEM32>\appidpolicyengineapi\6cb0b6c459d5d3
- <SYSTEM32>\kbdinuk2\lsm.exe
- <SYSTEM32>\kbdinuk2\101b941d020240
- C:\totalcmd\language\system.exe
- C:\totalcmd\language\27d1bcfc3c54e0
Сетевая активность
Подключается к
- 'hu##ed.com':443
TCP
Другие
- 'hu##ed.com':443
UDP
- DNS ASK hu##ed.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Текущая директория>\spoolsv.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Текущая директория>\iexplore.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\Templates\firefox.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<SYSTEM32>\AppIdPolicyEngineApi\dwm.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\PerfLogs\Admin\dwm.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<SYSTEM32>\KBDINUK2\lsm.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\totalcmd\LANGUAGE\System.exe'
- 'C:\perflogs\admin\dwm.exe'
- 'C:\perflogs\admin\dwm.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'<Текущая директория>\iexplore.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "spoolsv" /sc ONLOGON /tr "'<Текущая директория>\spoolsv.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Templates\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'C:\PerfLogs\Admin\dwm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'<SYSTEM32>\AppIdPolicyEngineApi\dwm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "lsm" /sc ONLOGON /tr "'<SYSTEM32>\KBDINUK2\lsm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "System" /sc ONLOGON /tr "'C:\totalcmd\LANGUAGE\System.exe'" /rl HIGHEST /f
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Полный путь к файлу>'
