Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Google.exe' = 'C:\Google\Google.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\dfawinservice
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\StartUp\FireWallDefender.exe'"
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\1e2a.tmp\1e2b.tmp\1e2c.bat
- C:\google\cache\f000ch
- C:\google\cache\data_4
- C:\google\cache\data_3
- C:\google\cache\data_2
- C:\google\cache\data_1
- C:\google\cache\data_0
- C:\google\cookie.pp
- C:\google\button.txt
- C:\google\data.txt
- C:\google\proxy.log
- C:\google\google.log
- nul
- C:\systemsettings\channel_payload.json
- C:\systemsettings\future.json
- C:\systemsettings\config.json
- C:\systemsettings\console.txt
- <Текущая директория>\test.txt
- C:\systemsettings\temp.txt
- C:\systemsettings\log.xos
Удаляет следующие файлы
- C:\systemsettings\config.json
- C:\systemsettings\temp.txt
- C:\systemsettings\future.json
- C:\systemsettings\log.xos
- C:\systemsettings\console.txt
- %TEMP%\1e2a.tmp\1e2b.tmp\1e2c.bat
Сетевая активность
UDP
- DNS ASK go##le.nl
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\1E2A.tmp\1E2B.tmp\1E2C.bat <Полный путь к файлу>"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\1E2A.tmp\1E2B.tmp\1E2C.bat <Полный путь к файлу>"
- '<SYSTEM32>\cmd.exe' /c ver
- '<SYSTEM32>\wbem\wmic.exe' os get name
- '<SYSTEM32>\cmd.exe' /c wmic os get name
- '<SYSTEM32>\wbem\wmic.exe' cpu get name
- '<SYSTEM32>\cmd.exe' /c wmic cpu get name
- '<SYSTEM32>\find.exe' "Subnet"
- '<SYSTEM32>\cmd.exe' /c ipconfig | find "Subnet"
- '<SYSTEM32>\findstr.exe' [
- '<SYSTEM32>\ping.exe' -4 -n 1 ygsvbhhpibm
- '<SYSTEM32>\cmd.exe' /c ping -4 -n 1 ygsvbhhpibm | findstr [
- '<SYSTEM32>\find.exe' "Default"
- '<SYSTEM32>\ipconfig.exe'
- '<SYSTEM32>\cmd.exe' /c ipconfig|find "Default"
- '<SYSTEM32>\find.exe' /i "Google.exe"
- '<SYSTEM32>\reg.exe' query HKCU\Software\Microsoft\Windows\CurrentVersion\Run
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v "Google.exe" /d "C:\Google\Google.exe" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dfawinservice" /tr "%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\StartUp\FireWallDefender.exe" /sc onstart /rl highest /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run32" /v "SecurityHealth" /t REG_BINARY /d 280000001c0000000100000018000000020000000400000002000000 /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run" /v "SecurityHealth" /t REG_BINARY /d 280000001c0000000100000018000000020000000400000002000000 /f
- '<SYSTEM32>\reg.exe' ADD "HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run" /v "SecurityHealth" /t REG_BINARY /d 00000000000000000000000000000000 /f
- '<SYSTEM32>\reg.exe' ADD HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
- '<SYSTEM32>\attrib.exe' +h C:\Google
- '<SYSTEM32>\attrib.exe' +h C:\SystemSettings
- '<SYSTEM32>\attrib.exe' +h C:\Update
- '<SYSTEM32>\wbem\wmic.exe' csproduct Get "UUID" /value
- '<SYSTEM32>\cmd.exe' /c wmic csproduct Get "UUID" /value
- '<SYSTEM32>\ping.exe' www.google.nl -n 1 -w 1000
- '<SYSTEM32>\systeminfo.exe'
- '<SYSTEM32>\findstr.exe' /C:"OS Name"
