BackDoor.XWorm.160

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'AppInit_DLLs' = '%ALLUSERSPROFILE%\Microsoft\Windows\WER\Windows.UI.BioFeedback.dll'
[HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'LoadAppInit_DLLs' = '00000001'

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\taskhostw

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Средство контроля пользовательских учетных записей (UAC)

Изменения в файловой системе

Создает следующие файлы

%ALLUSERSPROFILE%\microsoft\windows\wer\steam.exe
%ALLUSERSPROFILE%\microsoft\windows\wer\v9_context_snapshot.bin
%ALLUSERSPROFILE%\microsoft\windows\wer\windows.ui.biofeedback.dll
%ALLUSERSPROFILE%\microsoft\windows\wer\st.exe
%ALLUSERSPROFILE%\microsoft\windows\caches\riot.exe
%TEMP%\5428.tmp\5438.tmp\5449.bat
%ALLUSERSPROFILE%\microsoft\windows nt\msfax\svchost.exe
%ALLUSERSPROFILE%\microsoft\windows nt\msfax\discord.exe
%TEMP%\5e36.tmp\5e46.tmp\5e47.bat
nul
%ALLUSERSPROFILE%\taskhostw.exe

Удаляет следующие файлы

%ALLUSERSPROFILE%\microsoft\windows\caches\riot.exe
%TEMP%\5e36.tmp\5e46.tmp\5e47.bat
%TEMP%\5428.tmp\5438.tmp\5449.bat

Сетевая активность

Подключается к

'pa###bin.com':443

TCP

Другие

'pa###bin.com':443

UDP

DNS ASK pa###bin.com

Другое

Ищет следующие окна

ClassName: 'Edit' WindowName: ''

Создает и запускает на исполнение

'%ALLUSERSPROFILE%\microsoft\windows\wer\st.exe'
'%ALLUSERSPROFILE%\microsoft\windows\wer\steam.exe'
'%ALLUSERSPROFILE%\microsoft\windows\caches\riot.exe'
'%ALLUSERSPROFILE%\microsoft\windows nt\msfax\discord.exe'
'%ALLUSERSPROFILE%\microsoft\windows nt\msfax\svchost.exe'
'%ALLUSERSPROFILE%\taskhostw.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c "%TEMP%\5428.tmp\5438.tmp\5449.bat %ALLUSERSPROFILE%\Microsoft\Windows\WER\st.exe" (со скрытым окном)
'<SYSTEM32>\net.exe' session
'<SYSTEM32>\net1.exe' session
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /v "AppInit_DLLs" /t REG_SZ /d "%ALLUSERSPROFILE%\Microsoft\Windows\WER\Windows.UI.BioFeedback.dll" /f
'<SYSTEM32>\cmd.exe' /c "%TEMP%\5E36.tmp\5E46.tmp\5E47.bat "%ALLUSERSPROFILE%\Microsoft\Windows NT\MSFax\Discord.exe"" (со скрытым окном)
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v EnableLUA /t REG_DWORD /d 0 /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v ConsentPromptBehaviorAdmin /t REG_DWORD /d 0 /f
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /v "LoadAppInit_DLLs" /t REG_DWORD /d 1 /f
'<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v ConsentPromptBehaviorUser /t REG_DWORD /d 0 /f
'<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows" /v "RequireSignedAppInit_DLLs" /t REG_DWORD /d 0 /f
'<SYSTEM32>\schtasks.exe' /create /f /RL HIGHEST /sc minute /mo 1 /tn "taskhostw" /tr "%ALLUSERSPROFILE%\taskhostw.exe" (со скрытым окном)
'<SYSTEM32>\taskeng.exe' {11ABA534-4A2A-4EB5-863C-3ABA8E1B5F52} S-1-5-21-3691498038-2086406363-2140527554-1000:yprkmwclvh\user:Interactive:[1]
'%ALLUSERSPROFILE%\microsoft\windows\caches\riot.exe' (со скрытым окном)
'%ALLUSERSPROFILE%\taskhostw.exe' (со скрытым окном)