Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%ALLUSERSPROFILE%\WindowsTask\WinRing0x64.sys'
Создает следующие сервисы
- 'WinRing0_1_2_0' %ALLUSERSPROFILE%\WindowsTask\WinRing0x64.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\aut3eb4.tmp
- %ALLUSERSPROFILE%\windowstask\audiodg.exe
- %ALLUSERSPROFILE%\windowstask\appmodule.exe
- %ALLUSERSPROFILE%\windowstask\amd.exe
- %ALLUSERSPROFILE%\setup\packs.exe
- %TEMP%\autc36e.tmp
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\uv6ow4p3\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\1hbd9l27\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\9az7f012\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\t3a34szy\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %ALLUSERSPROFILE%\windowstask\winring0x64.sys
- %ALLUSERSPROFILE%\windowstask\microsofthost.exe
- %TEMP%\aut2454.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\t3a34szy\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\9az7f012\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\1hbd9l27\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\uv6ow4p3\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
- %ALLUSERSPROFILE%\windowstask\microsofthost.exe
- %ALLUSERSPROFILE%\windowstask\appmodule.exe
- %ALLUSERSPROFILE%\windowstask\amd.exe
- %ALLUSERSPROFILE%\windowstask\audiodg.exe
- %ALLUSERSPROFILE%\windowstask\winring0x64.sys
Удаляет следующие файлы
- %TEMP%\aut3eb4.tmp
- %TEMP%\autc36e.tmp
- %TEMP%\aut2454.tmp
Подменяет следующие файлы
- %ALLUSERSPROFILE%\ntuser.pol
- %HOMEPATH%\ntuser.pol
Сетевая активность
Подключается к
- 'ta##mgr.xyz':80
- 'ft###stem.xyz':80
- 'do##or.xyz':3333
TCP
Запросы HTTP GET
- http://ta##mgr.xyz/dowtor/STATUS.html
- http://ta##mgr.xyz/LTC.html
- http://ta##mgr.xyz/BTC.html
- http://ta##mgr.xyz/BTC2.html
- http://ta##mgr.xyz/BTC3.html
- http://ta##mgr.xyz/ETH.html
- http://ta##mgr.xyz/ZEC.html
- http://ta##mgr.xyz/DOGE.html
- http://ta##mgr.xyz/dowtor/configCPUX3.html
Другие
- 'do##or.xyz':3333
UDP
- DNS ASK ta##mgr.xyz
- DNS ASK ft###stem.xyz
- DNS ASK un###app.xyz
- DNS ASK do##or.xyz
Другое
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
- ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\setup\packs.exe' -ppidar
- '%ALLUSERSPROFILE%\windowstask\audiodg.exe'
- '%ALLUSERSPROFILE%\windowstask\microsofthost.exe' -o stratum+tcp://dowtor.xyz:3333 -u CPU --donate-level=1 -k --cpu-priority=0 -t1
- '<SYSTEM32>\cmd.exe' /c ipconfig /flushdns' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c gpupdate /force' (со скрытым окном)
- '%ALLUSERSPROFILE%\windowstask\microsofthost.exe' -o stratum+tcp://dowtor.xyz:3333 -u CPU --donate-level=1 -k --cpu-priority=0 -t1' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ipconfig /flushdns
- '<SYSTEM32>\ipconfig.exe' /flushdns
- '<SYSTEM32>\cmd.exe' /c gpupdate /force
- '<SYSTEM32>\gpupdate.exe' /force
- '<SYSTEM32>\rundll32.exe' "<SYSTEM32>\WININET.dll",DispatchAPICall 1
- '<SYSTEM32>\gpscript.exe' /RefreshSystemParam
- '<SYSTEM32>\raserver.exe' /offerraupdate
