Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [\REGISTRY\USER\S-1-5-21-1238866942-1249195528-555854008-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] '' = ''
- [\REGISTRY\USER\S-1-5-21-1238866942-1249195528-555854008-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Microsoft Edge Update' = '"C:\Users\ddd\AppData\Local\Microsoft\EdgeUpdate\1.3.173....
- [\REGISTRY\USER\S-1-5-21-1238866942-1249195528-555854008-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MicrosoftEdgeAutoLaunch_5F0741652F3D155A38C8AA800C581C2C' = '"C:\Program Files (x86...
- [\REGISTRY\USER\S-1-5-21-1238866942-1249195528-555854008-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Windscribe' = '"%ProgramFiles%\Windscribe\Windscribe.exe" -os_restart'
- [\REGISTRY\USER\S-1-5-21-1238866942-1249195528-555854008-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'eddsa33' = '"C:\Users\ddd\appdata\local\server.exe"'
- [\REGISTRY\USER\S-1-5-21-1238866942-1249195528-555854008-1000\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'iioyui' = '"C:\Users\ddd\AppData\Local\server.exe"'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '' = ''
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'SecurityHealth' = '<SYSTEM32>\SecurityHealthSystray.exe'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'RtHDVCpl' = '%ProgramFiles%\Realtek\Audio\HDA\RAVCpl64.exe -s'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'RtHDVBg_Dolby' = '"%ProgramFiles%\Realtek\Audio\HDA\RAVBg64.exe" /FORPCEE4'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'RtHDVBg_LENOVO_DOLBYDRAGON' = '"%ProgramFiles%\Realtek\Audio\HDA\RAVBg64.exe" /LENOVO_DOLBYDRAGON'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'RtHDVBg_LENOVO_MICPKEY' = '"%ProgramFiles%\Realtek\Audio\HDA\RAVBg64.exe" /LENOVO_MICPKEY'
- [HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] 'RtsFT' = 'RTFTrack.exe'
- [HKLM\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run\] 'svchost1' = '"%WINDIR%\svchost.exe"'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'Regmonclass', WindowName: ''
- ClassName: 'Filemonclass', WindowName: ''
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- D:\windows\system32\config\system.log1
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\sitesecurityservicestate.txt
- D:\windows\system32\winevt\logs\application.evtx
- D:\windows\system32\winevt\logs\microsoft-windows-networkprofile%4operational.evtx
- D:\windows\system32\winevt\logs\security.evtx
- D:\windows\system32\winevt\logs\system.evtx
- D:\system volume information\syscache.hve
- D:\system volume information\syscache.hve.log1
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat.log1
- D:\users\user\ntuser.dat
- D:\windows\svchost.exe
- D:\users\user\ntuser.dat.log1
- D:\windows\system32\config\software.log1
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite-wal
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite
- D:\windows\appcompat\programs\recentfilecache.bcf
- D:\users\user\appdata\local\mozilla\firefox\profiles\0j9e9tku.default-release\cache2\entries\7e1bdf2c04b6bb8e6516a288be95b19b21d7828a
- D:\wiindows\svchost2.exe
- D:\wiindows\svchost.exe
- D:\wiindows\aaa.bat
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive1.dat
- D:\windows\system32\config\system
- D:\windows\system32\config\software
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive0.dat
Удаляет следующие файлы
- D:\users\user\appdata\roaming\mozilla\firefox\profiles\0j9e9tku.default-release\storage\permanent\chrome\idb\3870112724rsegmnoittet-es.sqlite-wal
Сетевая активность
Подключается к
- '10#.#7.185.70':13579
TCP
Другие
- 'localhost':49158
- '34.##0.144.191':443
- '35.##1.9.150':443
- '34.##1.73.144':443
- '10#.#7.185.70':13579
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '4823-00000029' WindowName: ''
- ClassName: '18467-41' WindowName: ''
- ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
Создает и запускает на исполнение
- 'D:\wiindows\svchost.exe' -i -c
- 'D:\windows\svchost.exe'
- 'D:\wiindows\svchost2.exe' -i -c
- 'D:\windows\svchost.exe' ' (со скрытым окном)
