Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\lsassl
- <SYSTEM32>\tasks\lsass
- <SYSTEM32>\tasks\csrss
- <SYSTEM32>\tasks\wudfhostw
- <SYSTEM32>\tasks\csrssc
- <SYSTEM32>\tasks\spoolsvs
- <SYSTEM32>\tasks\wudfhost
- <SYSTEM32>\tasks\taskhost
- <SYSTEM32>\tasks\taskhostt
- <SYSTEM32>\tasks\spoolsv
- <SYSTEM32>\tasks\<Имя файла>j
- <SYSTEM32>\tasks\<Имя файла>
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\spoolsv.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Текущая директория>\WUDFHost.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ProgramFiles%\Microsoft SQL Server Compact Edition\v3.5\Desktop\csrss.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\kms\lsass.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Windows/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Users/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/System Volume Information/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Recovery/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/ProgramData/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Program Files (x86)/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Program Files/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/PerfLogs/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/MSOCache/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/kms/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/fuau/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Documents and Settings/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/$Recycle.Bin/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ProgramFiles(x86)%\Windows Photo Viewer\en-US\taskhost.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Полный путь к файлу>'
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\651c86b858b3f8
- %HOMEPATH%\desktop\bubtfjvl.log
- %HOMEPATH%\desktop\qstbanby.log
- nul
- %TEMP%\ap7dr7hc7h.bat
- %TEMP%\rc6lfu2kt3
- C:\kms\6203df4a6bafc7
- C:\kms\lsass.exe
- %ProgramFiles%\microsoft sql server compact edition\v3.5\desktop\886983d96e3d3e
- %ProgramFiles%\microsoft sql server compact edition\v3.5\desktop\csrss.exe
- <Текущая директория>\480b7989c529f6
- <Текущая директория>\wudfhost.exe
- C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\f3b6ecef712a24
- C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\spoolsv.exe
- %ProgramFiles(x86)%\windows photo viewer\en-us\b75386f1303e64
- %ProgramFiles(x86)%\windows photo viewer\en-us\taskhost.exe
- %HOMEPATH%\desktop\gitsigkz.log
- %HOMEPATH%\desktop\xeldymus.log
Удаляет следующие файлы
- %TEMP%\rc6lfu2kt3
Другое
Создает и запускает на исполнение
- '%ProgramFiles%\microsoft sql server compact edition\v3.5\desktop\csrss.exe'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "lsassl" /sc MINUTE /mo 14 /tr "'C:\kms\lsass.exe'" /f
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\ap7DR7Hc7h.bat" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>j" /sc MINUTE /mo 5 /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>j" /sc MINUTE /mo 6 /tr "'<Полный путь к файлу>'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 9 /tr "'%ProgramFiles(x86)%\Windows Photo Viewer\en-US\taskhost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Windows Photo Viewer\en-US\taskhost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 9 /tr "'%ProgramFiles(x86)%\Windows Photo Viewer\en-US\taskhost.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "spoolsvs" /sc MINUTE /mo 14 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\spoolsv.exe'" /rl HIGHEST /f
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\schtasks.exe' /create /tn "spoolsv" /sc ONLOGON /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\spoolsv.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 8 /tr "'<Текущая директория>\WUDFHost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc ONLOGON /tr "'<Текущая директория>\WUDFHost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 10 /tr "'<Текущая директория>\WUDFHost.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 7 /tr "'%ProgramFiles%\Microsoft SQL Server Compact Edition\v3.5\Desktop\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'%ProgramFiles%\Microsoft SQL Server Compact Edition\v3.5\Desktop\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 10 /tr "'%ProgramFiles%\Microsoft SQL Server Compact Edition\v3.5\Desktop\csrss.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "lsassl" /sc MINUTE /mo 12 /tr "'C:\kms\lsass.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "lsass" /sc ONLOGON /tr "'C:\kms\lsass.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "spoolsvs" /sc MINUTE /mo 10 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\spoolsv.exe'" /f
- '<SYSTEM32>\ping.exe' -n 10 localhost
