Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\Software\Classes\Loki\shell\open\command] '' = '%ALLUSERSPROFILE%\bqocya3g.exe "%l" '
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\winlogon.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\wvtymcow.bat
- <SYSTEM32>\tasks\loki
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
удаляет теневые копии разделов.
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall set currentprofile state off
- '%WINDIR%\syswow64\netsh.exe' firewall set opmode mode=disable
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\winlogon.exe
- %ALLUSERSPROFILE%\winlogon.exe
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\winlogon.exe
- %WINDIR%\winlogon.exe
- %TEMP%\ehujalct.ico
- %TEMP%\milb2tmn\milb2tmn.0.cs
- %TEMP%\milb2tmn\milb2tmn.cmdline
- %TEMP%\milb2tmn\milb2tmn.out
- %ALLUSERSPROFILE%\csc924b0d0530194a419faf6a378440714d.tmp
- %TEMP%\res4988.tmp
- %ALLUSERSPROFILE%\bqocya3g.exe
- %ALLUSERSPROFILE%\info.loki
- b:\system volume information\wpsettings.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\winlogon.exe
- %ALLUSERSPROFILE%\winlogon.exe
- %WINDIR%\winlogon.exe
- %ALLUSERSPROFILE%\bqocya3g.exe
Сетевая активность
Подключается к
- '<LOCALNET>..62.1':445
- '<LOCALNET>..62.1':139
UDP
- '22#.0.0.1':9
Другое
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C schtasks /CREATE /SC ONLOGON /TN Loki /TR %APPDATA%\winlogon.exe /RU SYSTEM /RL HIGHEST /F (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /CREATE /SC ONLOGON /TN Loki /TR %APPDATA%\winlogon.exe /RU SYSTEM /RL HIGHEST /F
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\milb2tmn\milb2tmn.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4988.tmp" "%ALLUSERSPROFILE%\CSC924B0D0530194A419FAF6A378440714D.TMP" (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C vssadmin delete shadows /all /quiet (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C wbadmin DELETE SYSTEMSTATEBACKUP (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C wmic shadowcopy delete (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C wbadmin delete catalog -quiet (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} bootstatuspolicy ignoreallfailures (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C bcdedit /set {default} recoveryenabled no (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C netsh advfirewall set currentprofile state off (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C netsh firewall set opmode mode=disable (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "Get-ADComputer -filter * -Searchbase '%s' | foreach{ Invoke-GPUpdate -computer $_.name -force -RandomDelayInMinutes 0}" (со скрытым окном)
