Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'NF16A3' = '%LOCALAPPDATA%\Microsoft\Windows\Explorer\WinUpdate-NF16A33.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\nf16a3
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionProcess 'powershell.exe'; Add-MpPreference -ExclusionProcess 'cmd.exe'; Add-MpPreference -ExclusionProcess 'svchost.exe'; Add-MpPreference -ExclusionProcess...
Запускает большое число процессов
Изменения в файловой системе
Создает следующие файлы
- <SYSTEM32>\winupdate-nf16a32.exe
- %LOCALAPPDATA%\microsoft\windows\explorer\winupdate-nf16a33.exe
- nul
Другое
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /Create /TN "NF16A3" /TR "<SYSTEM32>\WinUpdate-NF16A32.exe" /SC ONLOGON /RL HIGHEST /F
- '<SYSTEM32>\cmd.exe' /C reagentc /disable (со скрытым окном)
- '<SYSTEM32>\reagentc.exe' /disable
- '<SYSTEM32>\cmd.exe' /C takeown /F "<SYSTEM32>\reagentc.exe" (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /F "<SYSTEM32>\reagentc.exe"
- '<SYSTEM32>\cmd.exe' /C icacls "<SYSTEM32>\reagentc.exe" /grant Administrators:F (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\reagentc.exe" /grant Administrators:F
- '<SYSTEM32>\cmd.exe' /C icacls "<SYSTEM32>\reagentc.exe" /deny Everyone:RX (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\reagentc.exe" /deny Everyone:RX
- '<SYSTEM32>\cmd.exe' /C powercfg /change monitor-timeout-ac 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change monitor-timeout-ac 0
- '<SYSTEM32>\cmd.exe' /C powercfg /change monitor-timeout-dc 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change monitor-timeout-dc 0
- '<SYSTEM32>\cmd.exe' /C powercfg /change standby-timeout-ac 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change standby-timeout-ac 0
- '<SYSTEM32>\cmd.exe' /C powercfg /change standby-timeout-dc 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change standby-timeout-dc 0
- '<SYSTEM32>\cmd.exe' /C powercfg /change hibernate-timeout-ac 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change hibernate-timeout-ac 0
- '<SYSTEM32>\cmd.exe' /C powercfg /change hibernate-timeout-dc 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change hibernate-timeout-dc 0
- '<SYSTEM32>\cmd.exe' /C powercfg /hibernate off (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /hibernate off
- '<SYSTEM32>\cmd.exe' /c ping -n 1 -w 1000 8.#.8.8 > nul (со скрытым окном)
- '<SYSTEM32>\ping.exe' -n 1 -w 1000 8.#.8.8
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionProcess 'powershell.exe'; Add-MpPreference -ExclusionProcess 'cmd.exe'; Add-MpPreference -ExclusionProcess 'svchost.exe'; Add-MpPreference -ExclusionProcess... (со скрытым окном)
