Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'Load' = '%HOMEPATH%\Documents\uscs.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\documents\uscs.exe
- %LOCALAPPDATA%\microsoft vision\2023-02-27_14.38.18
Сетевая активность
Подключается к
- 'bu#.##clock.shop':1317
TCP
Другие
- 'bu#.##clock.shop':1317
UDP
- DNS ASK bu#.##clock.shop
Другое
Создает и запускает на исполнение
- '%HOMEPATH%\documents\uscs.exe'
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows" /f /v Load /t REG_SZ /d "%HOMEPATH%\Documents\uscs.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath C:\' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath C:\
- '%WINDIR%\syswow64\cmd.exe' /c REG ADD "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows" /f /v Load /t REG_SZ /d "%HOMEPATH%\Documents\uscs.exe"
- '%WINDIR%\syswow64\reg.exe' ADD "HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows" /f /v Load /t REG_SZ /d "%HOMEPATH%\Documents\uscs.exe"
- '%WINDIR%\syswow64\cmd.exe'
