Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\dataservice
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\schtasks.exe' /Create /SC minute /mo 05 /f /TN "DataService" /TR "C:\KB4507004\KB4507004.bat"
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\kb3179573
- %TEMP%\kb4507004
- %APPDATA%\kb3179573
- C:\kb4507004\kb4507004.bat
Удаляет следующие файлы
- %TEMP%\kb3179573
- %TEMP%\kb4507004
- <SYSTEM32>\tasks\dataservice
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /Create /SC minute /mo 05 /f /TN "DataService" /TR "C:\KB4507004\KB4507004.bat"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "C:\KB4507004\KB4507004.bat"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\taskeng.exe' {8F39A8BE-A476-4B40-B66D-2A88F5A9D4B9} S-1-5-21-1960123792-2022915161-3775307078-1001:oqomamkpejz\user:Interactive:[1]
- '<SYSTEM32>\cmd.exe' /c "C:\KB4507004\KB4507004.bat"
- '<SYSTEM32>\attrib.exe' +a +h +s %HOMEPATH%\Printers
- '<SYSTEM32>\attrib.exe' +a +h +s %HOMEPATH%\Use
- '<SYSTEM32>\attrib.exe' +a +h +s %HOMEPATH%\Look
- '<SYSTEM32>\attrib.exe' +a +h +s %HOMEPATH%\Check
- '<SYSTEM32>\schtasks.exe' /delete /tn Data_log /f
- '<SYSTEM32>\schtasks.exe' /delete /tn Internet /f
- '<SYSTEM32>\schtasks.exe' /delete /tn DataService /f
- '<SYSTEM32>\schtasks.exe' /create /sc minute /mo 10 /f /tn Data_log /tr %HOMEPATH%\Look\Drive\wmi\hostcom.exe
