Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'discord' = '%LOCALAPPDATA%\discord.exe'
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall set allprofiles state off
- '%WINDIR%\syswow64\taskkill.exe' /F /IM RTVscan*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM QBFCService*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM Intuit.QuickBooks.FCS*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM YooBackup*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM YooIT*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM zhudongfangyu*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM stc_raw_agent*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM VSNAPVSS*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM QBCFMonitorService*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM VeeamTransportSvc*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM VeeamDeploymentService*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM VeeamNFSSvc*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM PDVFSService*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM BackupExecVSSProvider*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM BackupExecAgentAccelerator*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM BackupExecRPCService*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM AcrSch2Svc*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM AcronisAgent*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM CASAD2DWebSvc*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM SavRoam*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM CAARCUpdateSvc*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM ccEvtMgr*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM GxCIMgr*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM BackupExecAgentBrowser*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM BackupExecDiveciMediaService*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM BackupExecJobEngine*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM BackupExecManagementService*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM vss*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM sql*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM svc$*
- '%WINDIR%\syswow64\netsh.exe' advfirewall set currentprofile state off
- '%WINDIR%\syswow64\taskkill.exe' /F /IM memtas*
- '%WINDIR%\syswow64\netsh.exe' advfirewall set domainprofile state off
- '%WINDIR%\syswow64\taskkill.exe' /F /IM sophos*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM veeam*
- '%WINDIR%\syswow64\netsh.exe' advfirewall set privateprofile state off
- '%WINDIR%\syswow64\netsh.exe' advfirewall set publicprofile state off
- '%WINDIR%\syswow64\taskkill.exe' /F /IM backup*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM GxVss*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM GxBlr*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM GxFWD*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM GxCVD*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM DefWatch*
- '%WINDIR%\syswow64\taskkill.exe' /F /IM TeamViewer*
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\split.avi
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\dialmap.bmp
- %HOMEPATH%\desktop\dial.bmp
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\dashborder_120.bmp
- %HOMEPATH%\desktop\contoso_1.cer
- %HOMEPATH%\desktop\contosoroot_1.cer
- %HOMEPATH%\desktop\contosoroot.cer
- %HOMEPATH%\desktop\archer.avi
- %HOMEPATH%\desktop\toolbar.bmp
- %HOMEPATH%\desktop\weeklysheet1215.doc
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\id
- D:\install.log.nnll
- %HOMEPATH%\desktop\telegram.lnk.nnll
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx.nnll
- %HOMEPATH%\desktop\google chrome.lnk.nnll
- %HOMEPATH%\desktop\glidescope_review_rev_010.docx.nnll
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx.nnll
- %HOMEPATH%\desktop\dialmap.bmp.nnll
- %HOMEPATH%\desktop\dial.bmp.nnll
- %HOMEPATH%\desktop\desktop.ini.nnll
- %HOMEPATH%\desktop\delete.avi.nnll
- %HOMEPATH%\desktop\dashborder_192.bmp.nnll
- %HOMEPATH%\desktop\dashborder_120.bmp.nnll
- %HOMEPATH%\desktop\contoso_1.cer.nnll
- %HOMEPATH%\desktop\contosoroot_1.cer.nnll
- %HOMEPATH%\desktop\contosoroot.cer.nnll
- %HOMEPATH%\desktop\archer.avi.nnll
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx.nnll
- %HOMEPATH%\videos\desktop.ini.nnll
- %HOMEPATH%\music\desktop.ini.nnll
- %HOMEPATH%\pictures\desktop.ini.nnll
- %HOMEPATH%\documents\desktop.ini.nnll
- %HOMEPATH%\downloads\desktop.ini.nnll
- %APPDATA%\ext
- D:\$recycle.bin\_readme.txt
- D:\_readme.txt
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
UDP
- 'localhost':51270
- 'localhost':56482
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall set allprofiles state off & netsh advfirewall set currentprofile state off & netsh advfirewall set domainprofile state off & netsh advfirewall set privateprofile state off ...' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /F /IM BackupExecAgentBrowser* & taskkill /F /IM BackupExecDiveciMediaService* & taskkill /F /IM BackupExecJobEngine* & taskkill /F /IM BackupExecManagementService* & taskkill /F /I...' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall set allprofiles state off & netsh advfirewall set currentprofile state off & netsh advfirewall set domainprofile state off & netsh advfirewall set privateprofile state off ...
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /F /IM BackupExecAgentBrowser* & taskkill /F /IM BackupExecDiveciMediaService* & taskkill /F /IM BackupExecJobEngine* & taskkill /F /IM BackupExecManagementService* & taskkill /F /I...
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender /v "DisableAntiSpyware" /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\reg.exe' ADD HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\reg.exe' ADD HKCU\Software\Microsoft\Windows\System /v DisableCMD /t REG_DWORD /d 2 /f
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionExtension .exe
