Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\applaunch.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\1.exe
- %TEMP%\2.exe
- %TEMP%\3.exe
- %TEMP%\5.exe
- %TEMP%\6.exe
- %TEMP%\7.exe
- %TEMP%\9.exe
- %TEMP%\11.exe
- %TEMP%\10.exe
- %TEMP%\8.exe
- <Текущая директория>\fixed.exe
Изменяет файл HOSTS.
Другое
Создает и запускает на исполнение
- '%TEMP%\6.exe'
- '%TEMP%\1.exe'
- '%TEMP%\2.exe'
- '%TEMP%\8.exe'
- '%TEMP%\3.exe'
- '%TEMP%\5.exe'
- '%TEMP%\10.exe'
- '%TEMP%\7.exe'
- '<Текущая директория>\fixed.exe'
- '%TEMP%\11.exe'
- '%TEMP%\9.exe'
- '%TEMP%\9.exe' ' (со скрытым окном)
- '%TEMP%\10.exe' ' (со скрытым окном)
- '%TEMP%\11.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -EncodedCommand "PAAjAHYAdwBkACMAPgBBAGQAZAAtAE0AcABQAHIAZQBmAGUAcgBlAG4AYwBlACAAPAAjAGEAeAB6ACMAPgAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgAEAAKAAkAGUAbgB2ADoAVQBzAGUAcgBQAHIAbwBmAGkAbABlACwA...' (со скрытым окном)
- '%TEMP%\8.exe' ' (со скрытым окном)
- '%TEMP%\1.exe' ' (со скрытым окном)
- '%TEMP%\5.exe' ' (со скрытым окном)
- '%TEMP%\3.exe' ' (со скрытым окном)
- '%TEMP%\2.exe' ' (со скрытым окном)
- '%TEMP%\6.exe' ' (со скрытым окном)
- '%TEMP%\7.exe' ' (со скрытым окном)
- '<Текущая директория>\fixed.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -EncodedCommand "PAAjAHYAdwBkACMAPgBBAGQAZAAtAE0AcABQAHIAZQBmAGUAcgBlAG4AYwBlACAAPAAjAGEAeAB6ACMAPgAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgAEAAKAAkAGUAbgB2ADoAVQBzAGUAcgBQAHIAbwBmAGkAbABlACwA...
- '<SYSTEM32>\sc.exe' stop dosvc
- '<SYSTEM32>\sc.exe' stop bits
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
- '<SYSTEM32>\sc.exe' stop wuauserv
- '<SYSTEM32>\sc.exe' stop WaaSMedicSvc
- '%WINDIR%\microsoft.net\framework\v4.0.30319\vbc.exe'
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' <#jjuqq#> IF((New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent())).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)) { schtasks /r...
- '<SYSTEM32>\sc.exe' stop UsoSvc
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
- '<SYSTEM32>\cmd.exe' /c powercfg /x -hibernate-timeout-ac 0 & powercfg /x -hibernate-timeout-dc 0 & powercfg /x -standby-timeout-ac 0 & powercfg /x -standby-timeout-dc 0
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' <#xsqltsu#> IF((New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent())).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)) { IF([Syste...
- '<SYSTEM32>\cmd.exe' /c sc stop UsoSvc & sc stop WaaSMedicSvc & sc stop wuauserv & sc stop bits & sc stop dosvc & reg delete "HKLM\SYSTEM\CurrentControlSet\Services\UsoSvc" /f & reg delete "HKLM\SYSTEM\CurrentContr...
- '%WINDIR%\microsoft.net\framework\v4.0.30319\applaunch.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramFiles) -Force
- '<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\UsoSvc" /f
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
