Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'taskmoder' = '%APPDATA%\taskmoder.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\explorer
- <SYSTEM32>\tasks\upx
- <SYSTEM32>\tasks\taskmoder
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%APPDATA%\explorer.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%APPDATA%\taskmoder.exe'
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmstp.exe
Изменяет следующие настройки браузера Windows Internet Explorer
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyServer' = '127.0.0.1:8080'
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\explorer.exe
- %APPDATA%\upx.exe
- %APPDATA%\taskmoder.exe
- %WINDIR%\temp\rv5pgnh4.exe
- %WINDIR%\temp\53wkcg5z.inf
- %TEMP%\taskmen.exe
- <DRIVERS>\etc\hоsts
- %ALLUSERSPROFILE%\winlog.vbs
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\explorer.exe
- %APPDATA%\taskmoder.exe
- %ALLUSERSPROFILE%\winlog.vbs
Другое
Создает и запускает на исполнение
- '%APPDATA%\explorer.exe'
- '%APPDATA%\upx.exe'
- '%APPDATA%\taskmoder.exe'
- '%TEMP%\taskmen.exe'
- '%WINDIR%\temp\rv5pgnh4.exe'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /Create /F /TN "explorer" /SC ONLOGON /TR "%APPDATA%\explorer.exe" /RL HIGHEST (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /F /TN "upx" /SC ONLOGON /TR "%APPDATA%\upx.exe" /RL HIGHEST (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /F /TN "taskmoder" /SC ONLOGON /TR "%APPDATA%\taskmoder.exe" /RL HIGHEST (со скрытым окном)
- '<SYSTEM32>\cmstp.exe' /au %WINDIR%\temp\53wkcg5z.inf
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%APPDATA%\explorer.exe' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%APPDATA%\taskmoder.exe' (со скрытым окном)
