Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\smsss
- <SYSTEM32>\tasks\smss
- <SYSTEM32>\tasks\<Имя файла>o
- <SYSTEM32>\tasks\<Имя файла>
- <SYSTEM32>\tasks\securityhealthsystrays
- <SYSTEM32>\tasks\securityhealthsystray
- <SYSTEM32>\tasks\runtimebrokerr
- <SYSTEM32>\tasks\runtimebroker
- <SYSTEM32>\tasks\dllhostd
- <SYSTEM32>\tasks\dllhost
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/$Recycle.Bin/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Documents and Settings/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/jwgmqc/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/kms/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/MSOCache/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/PerfLogs/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Program Files/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Program Files (x86)/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/ProgramData/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Recovery/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/System Volume Information/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Windows/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Users/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ProgramFiles%\Windows Multimedia Platform\smss.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\Users\Public\Libraries\<Имя файла>.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\Users\Public\SecurityHealthSystray.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ProgramFiles(x86)%\WindowsPowerShell\Configuration\Schema\RuntimeBroker.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ProgramFiles%\Windows NT\TableTextService\en-US\dllhost.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Полный путь к файлу>'
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\1c803617f824f4
- %ProgramFiles%\windows nt\tabletextservice\en-us\dllhost.exe
- %ProgramFiles%\windows nt\tabletextservice\en-us\5940a34987c991
- %ProgramFiles(x86)%\windowspowershell\configuration\schema\runtimebroker.exe
- %ProgramFiles(x86)%\windowspowershell\configuration\schema\9e8d7a4ca61bd9
- C:\users\public\securityhealthsystray.exe
- C:\users\public\27b434ba3dcee9
- C:\users\public\libraries\<Имя файла>.exe
- C:\users\public\libraries\1c803617f824f4
- %ProgramFiles%\windows multimedia platform\smss.exe
- %ProgramFiles%\windows multimedia platform\69ddcba757bf72
- %TEMP%\content\4988-1368-<Имя файла>.exe-20-10-37-424.dump
- %TEMP%\content\4988-1368-<Имя файла>.exe-20-10-38-655.dump
- %TEMP%\content\4988-1368-<Имя файла>.exe-20-10-38-915.dump
- %TEMP%\content\4988-1368-<Имя файла>.exe-20-10-39-450.dump
- %TEMP%\content\4988-1368-<Имя файла>.exe-20-10-40-517.dump
- %TEMP%\content\4988-1368-<Имя файла>.exe-20-10-41-201.dump
- %TEMP%\content\4988-1368-<Имя файла>.exe-20-10-42-292.dump
- %TEMP%\content\4988-1368-<Имя файла>.exe-20-10-42-856.dump
- %TEMP%\content\4988-1368-<Имя файла>.exe-20-10-43-635.dump
- %TEMP%\content\4988-1368-<Имя файла>.exe-20-10-44-762.dump
- %TEMP%\content\4988-1368-<Имя файла>.exe-20-10-45-538.dump
- %TEMP%\content\4988-1368-<Имя файла>.exe-20-10-46-729.dump
- %TEMP%\content\4988-1368-<Имя файла>.exe-20-10-47-040.dump
- %TEMP%\content\4988-1368-<Имя файла>.exe-20-10-48-383.dump
- %TEMP%\content\4988-1368-<Имя файла>.exe-20-10-49-490.dump
- %TEMP%\content\4988-1368-<Имя файла>.exe-20-10-50-132.dump
- %TEMP%\content\4988-1368-<Имя файла>.exe-20-10-51-024.dump
- %TEMP%\content\4988-1368-<Имя файла>.exe-20-10-51-427.dump
- %TEMP%\q3qziuw01v
- %TEMP%\7hoe2qdqi8.bat
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
Другое
Создает и запускает на исполнение
- '%ProgramFiles%\windows nt\tabletextservice\en-us\dllhost.exe'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "smsss" /sc MINUTE /mo 11 /tr "'%ProgramFiles%\Windows Multimedia Platform\smss.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "smss" /sc ONLOGON /tr "'%ProgramFiles%\Windows Multimedia Platform\smss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "smsss" /sc MINUTE /mo 10 /tr "'%ProgramFiles%\Windows Multimedia Platform\smss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>o" /sc MINUTE /mo 6 /tr "'C:\Users\Public\Libraries\<Имя файла>.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'C:\Users\Public\Libraries\<Имя файла>.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>o" /sc MINUTE /mo 12 /tr "'C:\Users\Public\Libraries\<Имя файла>.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "SecurityHealthSystrayS" /sc MINUTE /mo 6 /tr "'C:\Users\Public\SecurityHealthSystray.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "SecurityHealthSystray" /sc ONLOGON /tr "'C:\Users\Public\SecurityHealthSystray.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "SecurityHealthSystrayS" /sc MINUTE /mo 12 /tr "'C:\Users\Public\SecurityHealthSystray.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "RuntimeBrokerR" /sc MINUTE /mo 7 /tr "'%ProgramFiles(x86)%\WindowsPowerShell\Configuration\Schema\RuntimeBroker.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "RuntimeBroker" /sc ONLOGON /tr "'%ProgramFiles(x86)%\WindowsPowerShell\Configuration\Schema\RuntimeBroker.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "RuntimeBrokerR" /sc MINUTE /mo 13 /tr "'%ProgramFiles(x86)%\WindowsPowerShell\Configuration\Schema\RuntimeBroker.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dllhostd" /sc MINUTE /mo 9 /tr "'%ProgramFiles%\Windows NT\TableTextService\en-US\dllhost.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dllhost" /sc ONLOGON /tr "'%ProgramFiles%\Windows NT\TableTextService\en-US\dllhost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dllhostd" /sc MINUTE /mo 10 /tr "'%ProgramFiles%\Windows NT\TableTextService\en-US\dllhost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>o" /sc MINUTE /mo 5 /tr "'<Полный путь к файлу>'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>o" /sc MINUTE /mo 14 /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\7hoe2qdqI8.bat" (со скрытым окном)
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\ping.exe' -n 10 localhost
