Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\WdFilter] 'ImagePath' = '<DRIVERS>\WdFilter.sys'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\lock
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\spf\unknown.log
- %TEMP%\1g1zhhdd.bat
- %TEMP%\e2a1d421-3e14-439a-b913-5a5192d9f54b.bat
- C:\lock
- D:\lock
- %APPDATA%\spf\avatart.png
- %APPDATA%\spf\diskid
- %APPDATA%\spf\boardid
- %APPDATA%\spf\uuid
- %APPDATA%\spf\hwidinfo002
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\e2a1d421-3e14-439a-b913-5a5192d9f54b.bat
Удаляет следующие системные файлы
- %WINDIR%\fonts\desktop.ini
Удаляет файлы, которые сам же создал
- %TEMP%\1g1zhhdd.bat
Самоудаляется.
Сетевая активность
Подключается к
- 'un#####apps.ipv64.net':80
- 'ip##.#canhazip.com':443
TCP
Запросы HTTP GET
- http://un#####apps.ipv64.net/hwid/?sn#####################################################################################################
Другие
- 'ip##.#canhazip.com':443
UDP
- DNS ASK un#####apps.ipv64.net
- DNS ASK ip##.#canhazip.com
Другое
Создает и запускает на исполнение
- '%TEMP%\1g1zhhdd.bat' ok
Запускает на исполнение
- '<SYSTEM32>\sc.exe' config wdfilter start=disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WerSvc start=disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WinDefend start=disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WdNisSvc start=disabled (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc stop WerSvc (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc stop WinDefend (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc stop wdfilter (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc stop WdNisSvc (со скрытым окном)
- '<SYSTEM32>\sc.exe' config XblGameSave start=disabled (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc stop XblGameSave (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\e2a1d421-3e14-439a-b913-5a5192d9f54b.bat" (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop WerSvc
- '<SYSTEM32>\sc.exe' stop WinDefend
- '<SYSTEM32>\sc.exe' stop wdfilter
- '<SYSTEM32>\sc.exe' stop WdNisSvc
- '<SYSTEM32>\sc.exe' stop XblGameSave
- '<SYSTEM32>\attrib.exe' -r -s -h "<Полный путь к файлу>"
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Policies\Microsoft\Windows\System" /v "HiberbootEnabled" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\timeout.exe' /T 1
- '<SYSTEM32>\attrib.exe' -r -s -h "%TEMP%\e2a1d421-3e14-439a-b913-5a5192d9f54b.bat"
