Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Интерпретатора командной строки (CMD)
- Диспетчера задач (Taskmgr)
- Редактора реестра (RegEdit)
изменяет следующие системные настройки:
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoChangeStartMenu' = '00000001'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000001'
удаляет теневые копии разделов.
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM explorer.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\1189.jpeg
- %HOMEPATH%\desktop\210252809.jpeg
- %HOMEPATH%\desktop\64bit_notes.htm
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\archer.avi
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\desktop\readmeplease.txt
- %HOMEPATH%\desktop\gcrybground.png
- %TEMP%\iamthedoom.bat
- %HOMEPATH%\desktop\1189.jpeg.lcryx
- %HOMEPATH%\desktop\210252809.jpeg.lcryx
- %HOMEPATH%\desktop\64bit_notes.htm.lcryx
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx.lcryx
Сетевая активность
Подключается к
- 'google.com':80
- 'drive.google.com':443
- 'pk#.goog':80
TCP
Запросы HTTP GET
- http://www.google.com/
- http://pk#.goog/gsr1/gsr1.crt
Другие
- 'drive.google.com':443
UDP
- DNS ASK google.com
- DNS ASK drive.google.com
- DNS ASK pk#.goog
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\wscript.exe' "<PATH_SAMPLE>.vbs" /elevated
- '<SYSTEM32>\notepad.exe' %HOMEPATH%\Desktop\64bit_notes.htm.lcryx
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://www.youtube.com/ /crash-reporter-parent-id=1748
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://socialblade.com/ /crash-reporter-parent-id=2644
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://mail.yahoo.com/ /crash-reporter-parent-id=2956
- '<SYSTEM32>\notepad.exe' %HOMEPATH%\Desktop\aoc_saq_d_v3_merchant.docx.lcryx
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://www.youtube.com/ /crash-reporter-parent-id=1632
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://socialblade.com/ /crash-reporter-parent-id=3288
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=gpu-process --channel="1748.0.1360292806\941974346" --enable-proprietary-media-types-playback --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gpu...
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://mail.yahoo.com/ /crash-reporter-parent-id=3400
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://socialblade.com/ /crash-reporter-parent-id=3632
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://mail.yahoo.com/ /crash-reporter-parent-id=3780
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=gpu-process --channel="3400.0.45026615\1088182536" --enable-proprietary-media-types-playback --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gpu-...
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=gpu-process --channel="1120.0.431609509\263391196" --enable-proprietary-media-types-playback --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gpu-...
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=gpu-process --channel="892.0.287362547\2102847334" --enable-proprietary-media-types-playback --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gpu-...
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=gpu-process --channel="3288.0.457578290\1907716163" --enable-proprietary-media-types-playback --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gpu...
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=gpu-process --channel="1632.0.959343671\2081285722" --enable-proprietary-media-types-playback --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gpu...
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://socialblade.com/ /crash-reporter-parent-id=1536
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://www.youtube.com/ /crash-reporter-parent-id=2020
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://mail.yahoo.com/ /crash-reporter-parent-id=1300
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://socialblade.com/ /crash-reporter-parent-id=2212
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://www.youtube.com/ /crash-reporter-parent-id=892
- '<SYSTEM32>\notepad.exe' %HOMEPATH%\Desktop\READMEPLEASE.txt
- '<SYSTEM32>\rundll32.exe' user32.dll,UpdatePerUserSystemParameters
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\iamthedoom.bat" "
- '<SYSTEM32>\mspaint.exe'
- '<SYSTEM32>\notepad.exe'
- '<SYSTEM32>\cmd.exe'
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' --type=gpu-process --channel="2956.0.1954294670\1113822959" --enable-proprietary-media-types-playback --supports-dual-gpus=false --gpu-driver-bug-workarounds=1,19,42 --gpu-vendor-id=0x0000 --gp...
- '<SYSTEM32>\calc.exe'
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://www.youtube.com/ /crash-reporter-parent-id=3560
- '%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "https://socialblade.com/"
- '<SYSTEM32>\notepad.exe' %HOMEPATH%\Desktop\1189.jpeg.lcryx
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- https://socialblade.com/
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- https://mail.yahoo.com/
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera.exe' -noautoupdate --ran-launcher -- https://www.youtube.com/
- '<SYSTEM32>\notepad.exe' %HOMEPATH%\Desktop\210252809.jpeg.lcryx
- '%ProgramFiles(x86)%\opera\29.0.1795.47\opera_crashreporter.exe' -noautoupdate --ran-launcher -- https://mail.yahoo.com/ /crash-reporter-parent-id=1120
- '%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "https://www.youtube.com/"
- '<SYSTEM32>\cmd.exe' /c vssadmin delete shadows /all /quiet (со скрытым окном)
- '%ProgramFiles(x86)%\opera\launcher.exe' -noautoupdate -- "https://mail.yahoo.com/"
- '<SYSTEM32>\taskkill.exe' /F /IM explorer.exe (со скрытым окном)
