Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
добавляет исключения антивируса с помощью следующих ключей реестра:
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\{1ADBD4C4-66BD-4870-BA93-D342E8795555}Machine\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Extensions] 'exe' = ''
- [HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Extensions] 'exe' = ''
Изменения в файловой системе
Создает следующие файлы
- <SYSTEM32>\grouppolicy\gpt.ini
- <SYSTEM32>\grouppolicy\machine\registry.pol
- %ALLUSERSPROFILE%\ntuser.pol
- %HOMEPATH%\pictures\minor policy\rsvcbcezoi63fga7eu7sddfc.exe
Сетевая активность
Подключается к
- '20#.#7.104.60':80
- '19#.#2.32.118':80
- 'ap#.#yip.com':443
- 'ip##fo.io':443
- 'vk.com':80
- 'vk.com':443
TCP
Запросы HTTP GET
- http://19#.#2.32.118/api/tracemap.php
Другие
- 'ap#.#yip.com':443
- 'ip##fo.io':443
- 'vk.com':80
- 'vk.com':443
UDP
- DNS ASK ap#.#yip.com
- DNS ASK ip##fo.io
- DNS ASK vk.com
Другое
Запускает на исполнение
- '<SYSTEM32>\svchost.exe' -k secsvcs
- '<SYSTEM32>\raserver.exe' /offerraupdate
