Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
Изменения в файловой системе
Удаляет следующие файлы
- %WINDIR%\prefetch\1.exe-bf9d2cef.pf
- %WINDIR%\prefetch\acrord32.exe-acf2947d.pf
- %WINDIR%\prefetch\addinutil.exe-fef23417.pf
- %WINDIR%\prefetch\agapplaunch.db
- %WINDIR%\prefetch\agcx_sc4.db
- %WINDIR%\prefetch\agglfaulthistory.db
- %WINDIR%\prefetch\agglfgapphistory.db
- %WINDIR%\prefetch\agglglobalhistory.db
- %WINDIR%\prefetch\aggluad_p_s-1-5-21-1960123792-2022915161-3775307078-1001.db
- %WINDIR%\prefetch\aggluad_s-1-5-21-1960123792-2022915161-3775307078-1001.db
- %WINDIR%\prefetch\agrobust.db
- %WINDIR%\prefetch\arh.exe-f07e6c2c.pf
- %WINDIR%\prefetch\aspnet_regiis.exe-b76f1ad7.pf
- %WINDIR%\prefetch\audiodg.exe-bdfd3029.pf
Самоудаляется.
Сетевая активность
UDP
- DNS ASK pt#.#iscord.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\sc.exe' config WerSvc start=disabled' (со скрытым окном)
- '<SYSTEM32>\sc.exe' config wdfilter start=disabled' (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WinDefend start=disabled' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc stop WinDefend' (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WdNisSvc start=disabled' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc stop WerSvc' (со скрытым окном)
- '<SYSTEM32>\sc.exe' config XblGameSave start=disabled' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc stop wdfilter' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc stop WdNisSvc' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc stop XblGameSave' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\4a0b24b5-d8a3-4955-aea2-2ebd05b4e9bb.bat"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\sc.exe' config WerSvc start=disabled
- '<SYSTEM32>\attrib.exe' -r -s -h "<Полный путь к файлу>"
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\4a0b24b5-d8a3-4955-aea2-2ebd05b4e9bb.bat"
- '<SYSTEM32>\sc.exe' stop WdNisSvc
- '<SYSTEM32>\sc.exe' stop XblGameSave
- '<SYSTEM32>\sc.exe' stop wdfilter
- '<SYSTEM32>\sc.exe' stop WerSvc
- '<SYSTEM32>\sc.exe' stop WinDefend
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Policies\Microsoft\Windows\System" /v "HiberbootEnabled" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /c sc stop XblGameSave
- '<SYSTEM32>\cmd.exe' /c sc stop wdfilter
- '<SYSTEM32>\sc.exe' config XblGameSave start=disabled
- '<SYSTEM32>\cmd.exe' /c sc stop WerSvc
- '<SYSTEM32>\sc.exe' config WdNisSvc start=disabled
- '<SYSTEM32>\cmd.exe' /c sc stop WinDefend
- '<SYSTEM32>\sc.exe' config WinDefend start=disabled
- '<SYSTEM32>\sc.exe' config wdfilter start=disabled
- '<SYSTEM32>\cmd.exe' /c sc stop WdNisSvc
- '<SYSTEM32>\timeout.exe' /T 1
