Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'MykgrodApp' = '%WINDIR%\VMfr\vbswl.vbs'
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%WINDIR%\VMfr\WinRing0x64.sys'
Создает следующие сервисы
- 'WinRing0_1_2_0' %WINDIR%\VMfr\WinRing0x64.sys
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\vmfr\config.json
- %WINDIR%\vmfr\scvhsot.exe
- %WINDIR%\vmfr\vbswl.vbs
- %WINDIR%\vmfr\app.bat
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\vmfr\config.json
- %WINDIR%\vmfr\scvhsot.exe
- %WINDIR%\vmfr\vbswl.vbs
- %WINDIR%\vmfr\app.bat
Самоудаляется.
Сетевая активность
Подключается к
- 'au##.c3pool.org':80
TCP
Другие
- 'au##.c3pool.org':80
UDP
- DNS ASK au##.c3pool.org
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "%WINDIR%\VMfr\vbswl.vbs"
- '%WINDIR%\vmfr\scvhsot.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\VMfr\App.bat" "
- '%WINDIR%\vmfr\scvhsot.exe' (со скрытым окном)
