Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '%LOCALAPPDATA%\wcu.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '%LOCALAPPDATA%\wcu.exe'
Изменяет следующие исполняемые системные файлы
- %WINDIR%\regedit.exe
- %WINDIR%\notepad.exe
- <SYSTEM32>\resmon.exe
- <SYSTEM32>\perfmon.exe
- <SYSTEM32>\calc.exe
- <SYSTEM32>\notepad.exe
- <SYSTEM32>\taskmgr.exe
- <SYSTEM32>\sethc.exe
- <SYSTEM32>\mmc.exe
- <SYSTEM32>\narrator.exe
- <SYSTEM32>\mspaint.exe
- <SYSTEM32>\dxdiag.exe
- <SYSTEM32>\regedt32.exe
- <SYSTEM32>\dism.exe
- <SYSTEM32>\sfc.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Интерпретатора командной строки (CMD)
- Диспетчера задач (Taskmgr)
- Межсетевой экран (Брандмауэр Windows)
- Обновления системы (Windows Update)
- Системный антивирус (Защитник Windows)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
изменяет следующие системные настройки:
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000001'
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000001'
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
- <SYSTEM32>\msiexec.exe
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\wcu.exe
Удаляет следующие файлы
- <SYSTEM32>\sfc.dll
- <SYSTEM32>\taskschd.msc
- <SYSTEM32>\services.msc
Сетевая активность
UDP
- 'localhost':50593
- 'localhost':52787
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: ''
- ClassName: 'Proxy Desktop' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'Media Center Tray Applet' WindowName: ''
- ClassName: '' WindowName: 'View Available Networks'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: 'BluetoothNotificationAreaIconWindowClass'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: ''
Создает и запускает на исполнение
- '%LOCALAPPDATA%\wcu.exe'
- '<SYSTEM32>\takeown.exe' /f "%WINDIR%\regedit.exe"' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\regedt32.exe"' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\regedt32.exe" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\dism.exe"' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\dism.exe" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\sfc.exe"' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\sfc.exe" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\sfc.dll"' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\sfc.dll" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\taskschd.msc"' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\taskschd.msc" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\services.msc"' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\services.msc" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "%ProgramFiles%\Windows Defender" /r /d n' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "%ProgramFiles%\Windows Defender" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "%ProgramFiles(x86)%\Windows Defender" /r /d n' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "%ProgramFiles(x86)%\Windows Defender" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "%ALLUSERSPROFILE%\Microsoft\Windows Defender" /r /d n' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "%ALLUSERSPROFILE%\Microsoft\Windows Defender" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\dxdiag.exe" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "%WINDIR%\explorer.exe"' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\dxdiag.exe"' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\mspaint.exe"' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "%WINDIR%\regedit.exe" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "%WINDIR%\notepad.exe"' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "%WINDIR%\notepad.exe" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\resmon.exe"' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\resmon.exe" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\perfmon.exe"' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\perfmon.exe" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\calc.exe"' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\calc.exe" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\notepad.exe"' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\notepad.exe" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\taskmgr.exe"' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\taskmgr.exe" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\sethc.exe"' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\sethc.exe" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\mmc.exe"' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\mmc.exe" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\Narrator.exe"' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\Narrator.exe" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\mspaint.exe" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "%WINDIR%\explorer.exe" /grant "wxxwacgef\user:(F)" /t' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\takeown.exe' /f "%WINDIR%\regedit.exe"
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\regedt32.exe" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\dism.exe"
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\dism.exe" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\sfc.exe"
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\sfc.exe" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\sfc.dll"
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\sfc.dll" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\taskschd.msc"
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\taskschd.msc" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\services.msc" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\icacls.exe' "%WINDIR%\explorer.exe" /grant "wxxwacgef\user:(F)" /t
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\takeown.exe' /f "%ProgramFiles%\Windows Defender" /r /d n
- '<SYSTEM32>\icacls.exe' "%ProgramFiles%\Windows Defender" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\takeown.exe' /f "%ProgramFiles(x86)%\Windows Defender" /r /d n
- '<SYSTEM32>\icacls.exe' "%ProgramFiles(x86)%\Windows Defender" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\takeown.exe' /f "%ALLUSERSPROFILE%\Microsoft\Windows Defender" /r /d n
- '<SYSTEM32>\icacls.exe' "%ALLUSERSPROFILE%\Microsoft\Windows Defender" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\takeown.exe' /f "%WINDIR%\explorer.exe"
- '<SYSTEM32>\shutdown.exe' /r /t 00 /f
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\regedt32.exe"
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\services.msc"
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\dxdiag.exe" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\notepad.exe"
- '<SYSTEM32>\icacls.exe' "%WINDIR%\regedit.exe" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\takeown.exe' /f "%WINDIR%\notepad.exe"
- '<SYSTEM32>\icacls.exe' "%WINDIR%\notepad.exe" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\resmon.exe"
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\resmon.exe" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\perfmon.exe"
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\perfmon.exe" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\calc.exe"
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\calc.exe" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\notepad.exe" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\mspaint.exe" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\taskmgr.exe"
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\taskmgr.exe" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\sethc.exe"
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\sethc.exe" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\mmc.exe"
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\mmc.exe" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\Narrator.exe"
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\Narrator.exe" /grant "wxxwacgef\user:(F)" /t
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\mspaint.exe"
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\dxdiag.exe"
- '<SYSTEM32>\shutdown.exe' /r /t 10 /f
Пытается завершить работу операционной системы Windows.
