Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\microsoft\windows\sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%LOCALAPPDATA%\Microsoft\Windows\systemtask.exe"
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\windows\systemtask.exe
- %LOCALAPPDATA%\hyper-v.ver
- %TEMP%\x1do.0
- %TEMP%\x1do.1
- %TEMP%\x1do.1-shm
- %TEMP%\x1do.3
Сетевая активность
Подключается к
- 'qc#####ukogkeuge.xyz':443
TCP
Запросы HTTP GET
- http://qc######kogkeuge.xyz:443/avast_update via qc#####ukogkeuge.xyz
- http://qc######kogkeuge.xyz:443/api/client_hello via qc#####ukogkeuge.xyz
UDP
- DNS ASK es#####sukcuoico.xyz
- DNS ASK oe#####sewamggaa.xyz
- DNS ASK yy#####gygqayqys.xyz
- DNS ASK cg#####uwiikcwug.xyz
- DNS ASK qc#####ukogkeuge.xyz
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\systeminfo.exe'
