Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'AntiVirusProtection' = 'C:\Users\Public\Documents\ProtectionAntiVirus.vbs'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = 'C:\Users\Public\Documents\UpdateWindows.vbs'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'OnedriveUpdate' = 'C:\Users\Public\Downloads\UpdateOneDrive.vbs'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'IntelUpdate' = 'C:\Users\Public\Downloads\UpdateIntel.vbs'
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\reg.exe' add ""HKCU\Software\Microsoft\Windows\CurrentVersion\Run"" /v WindowsUpdate /t REG_SZ /d C:\Users\Public\Documents\UpdateWindows.vbs"
- '<SYSTEM32>\reg.exe' add ""HKCU\Software\Microsoft\Windows\CurrentVersion\Run"" /v AntiVirusProtection /t REG_SZ /d C:\Users\Public\Documents\ProtectionAntiVirus.vbs"
- '<SYSTEM32>\reg.exe' add ""HKCU\Software\Microsoft\Windows\CurrentVersion\Run"" /v OnedriveUpdate /t REG_SZ /d C:\Users\Public\Downloads\UpdateOneDrive.vbs"
- '<SYSTEM32>\reg.exe' add ""HKCU\Software\Microsoft\Windows\CurrentVersion\Run"" /v IntelUpdate /t REG_SZ /d C:\Users\Public\Downloads\UpdateIntel.vbs"
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\documents\teste_inj_ob_hta.txt
- C:\users\public\downloads\teste_lcl_ob_hta.txt
- C:\users\public\documents\teste_inj_ob.xsl
- C:\users\public\downloads\teste_lcl_ob.xsl
- C:\users\public\documents\windowsupdate.txt
- C:\users\public\documents\antivirusprotection.txt
- C:\users\public\downloads\onedriveupdate.txt
- C:\users\public\downloads\intelupdate.txt
- C:\users\public\documents\updatewindows.txt
- C:\users\public\documents\protectionantivirus.txt
- C:\users\public\downloads\updateonedrive.txt
- C:\users\public\downloads\updateintel.txt
Перемещает следующие файлы
- C:\users\public\documents\teste_inj_ob_hta.txt в C:\users\public\documents\teste_inj_ob.hta
- C:\users\public\downloads\teste_lcl_ob_hta.txt в C:\users\public\downloads\teste_lcl_ob.hta
- C:\users\public\documents\windowsupdate.txt в C:\users\public\documents\windowsupdate.vbs
- C:\users\public\documents\antivirusprotection.txt в C:\users\public\documents\antivirusprotection.vbs
- C:\users\public\downloads\onedriveupdate.txt в C:\users\public\downloads\onedriveupdate.vbs
- C:\users\public\downloads\intelupdate.txt в C:\users\public\downloads\intelupdate.vbs
- C:\users\public\documents\updatewindows.txt в C:\users\public\documents\updatewindows.vbs
- C:\users\public\documents\protectionantivirus.txt в C:\users\public\documents\protectionantivirus.vbs
- C:\users\public\downloads\updateonedrive.txt в C:\users\public\downloads\updateonedrive.vbs
- C:\users\public\downloads\updateintel.txt в C:\users\public\downloads\updateintel.vbs
Другое
Запускает на исполнение
- '<SYSTEM32>\reg.exe' add ""HKCU\Software\Microsoft\Windows\CurrentVersion\Run"" /v WindowsUpdate /t REG_SZ /d C:\Users\Public\Documents\UpdateWindows.vbs" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add ""HKCU\Software\Microsoft\Windows\CurrentVersion\Run"" /v AntiVirusProtection /t REG_SZ /d C:\Users\Public\Documents\ProtectionAntiVirus.vbs" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add ""HKCU\Software\Microsoft\Windows\CurrentVersion\Run"" /v OnedriveUpdate /t REG_SZ /d C:\Users\Public\Downloads\UpdateOneDrive.vbs" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add ""HKCU\Software\Microsoft\Windows\CurrentVersion\Run"" /v IntelUpdate /t REG_SZ /d C:\Users\Public\Downloads\UpdateIntel.vbs" (со скрытым окном)
