Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: 'RegmonClass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\autb48f.tmp
- %ALLUSERSPROFILE%\windowstask\audiodg.exe
- %ALLUSERSPROFILE%\setup\packs.exe
- %TEMP%\aut4fb6.tmp
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\bkj780a4\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\7but8lta\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\qlbym6ic\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\99jtarz9\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %ALLUSERSPROFILE%\windowstask\winring0x64.sys
- %ALLUSERSPROFILE%\windowstask\microsofthost.exe
- %TEMP%\aut7cf.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\99jtarz9\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\qlbym6ic\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\7but8lta\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\bkj780a4\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
- %ALLUSERSPROFILE%\windowstask\microsofthost.exe
- %ALLUSERSPROFILE%\windowstask\audiodg.exe
- %ALLUSERSPROFILE%\windowstask\winring0x64.sys
Удаляет следующие файлы
- %TEMP%\autb48f.tmp
- %TEMP%\aut4fb6.tmp
- %TEMP%\aut7cf.tmp
Подменяет следующие файлы
- %ALLUSERSPROFILE%\ntuser.pol
- %HOMEPATH%\ntuser.pol
Сетевая активность
UDP
- DNS ASK ta##mgr.xyz
- DNS ASK ft###stem.xyz
- DNS ASK ru##ll.xyz
- DNS ASK wm###vse.xyz
- DNS ASK un###app.xyz
Другое
Ищет следующие окна
- ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\setup\packs.exe' -ppidar
- '%ALLUSERSPROFILE%\windowstask\audiodg.exe'
- '%ALLUSERSPROFILE%\windowstask\microsofthost.exe' -o stratum+tcp://conhostservice.xyz:3333 -u Default_CPU --donate-level=1 -k -t1
- '<SYSTEM32>\cmd.exe' /c ipconfig /flushdns' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c gpupdate /force' (со скрытым окном)
- '%ALLUSERSPROFILE%\windowstask\microsofthost.exe' -o stratum+tcp://conhostservice.xyz:3333 -u Default_CPU --donate-level=1 -k -t1' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ipconfig /flushdns
- '<SYSTEM32>\ipconfig.exe' /flushdns
- '<SYSTEM32>\cmd.exe' /c gpupdate /force
- '<SYSTEM32>\gpupdate.exe' /force
- '<SYSTEM32>\rundll32.exe' "<SYSTEM32>\WININET.dll",DispatchAPICall 1
- '<SYSTEM32>\gpscript.exe' /RefreshSystemParam
- '<SYSTEM32>\raserver.exe' /offerraupdate
