Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'windows defenders' = '"%APPDATA%\SubDir\Client.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windows defenders
- <SYSTEM32>\tasks\windowssystemhost
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\subdir\client.exe
- %APPDATA%\logs\05-07-2025
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\subdir\client.exe
Сетевая активность
Подключается к
- 'ip##pi.com':80
- '80.##.95.227':4782
TCP
Запросы HTTP GET
- http://ip##pi.com/json/
Другие
- '80.##.95.227':4782
UDP
- DNS ASK ip##pi.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\subdir\client.exe'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "windows defenders" /sc ONLOGON /tr "<Полный путь к файлу>" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "windows defenders" /sc ONLOGON /tr "%APPDATA%\SubDir\Client.exe" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "WINDOWSSYSTEMHOST" /tr "%APPDATA%\SubDir\Client.exe" /sc MINUTE /MO 1 (со скрытым окном)
- '<SYSTEM32>\taskeng.exe' {B6BA35D0-EEB7-4B00-8B40-EB4D19D63D9D} S-1-5-21-3691498038-2086406363-2140527554-1000:jxhsklf\user:Interactive:[1]
- '%APPDATA%\subdir\client.exe' (со скрытым окном)
