Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/$Recycle.Bin/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/abbrtu/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Documents and Settings/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/kms/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/PerfLogs/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/MSOCache/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Program Files/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/ProgramData/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Recovery/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Program Files (x86)/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/System Volume Information/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Users/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Windows/'
Изменения в файловой системе
Создает следующие файлы
- C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\powershell.exe
- C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\e978f868350d50
- C:\users\public\pictures\sample pictures\powershell.exe
- C:\users\public\pictures\sample pictures\e978f868350d50
- C:\users\default\documents\my music\explorer.exe
- C:\users\default\documents\my music\7a0fd90576e088
- C:\kms\audiodg.exe
- C:\kms\42af1c969fbb7b
- <Текущая директория>\firefox.exe
- <Текущая директория>\0fc223bdacedc3
- %TEMP%\thfiu21fhk
- %TEMP%\krjqku4w94.bat
- nul
Удаляет следующие файлы
- %TEMP%\thfiu21fhk
Сетевая активность
UDP
- 'localhost':123
Другое
Создает и запускает на исполнение
- 'C:\kms\audiodg.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\KrjqKU4w94.bat" (со скрытым окном)
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2
