Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\explorer
- <SYSTEM32>\tasks\shellexperiencehost
- <SYSTEM32>\tasks\taskhostw
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft help\explorer.exe
- %LOCALAPPDATA%\microsoft\shellexperiencehost.exe
- %ProgramFiles(x86)%\microsoft.net\taskhostw.exe
- %ALLUSERSPROFILE%\microsoft\crypto\rsa\machinekeys\f686aace6942fb7f7ceb231212eef4a4_8cf7b530-613e-439b-a8c5-ccfc0e745400
- %TEMP%\7z.dll
- %TEMP%\7z.exe
- %TEMP%\axmstsclib.dll
- %TEMP%\ffmpeg.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\microsoft help\explorer.exe
- %LOCALAPPDATA%\microsoft\shellexperiencehost.exe
- %ProgramFiles(x86)%\microsoft.net\taskhostw.exe
Сетевая активность
Подключается к
- 'ra#.####ubusercontent.com':443
- 'gi##ub.com':443
- 're#########ets.githubusercontent.com':443
TCP
Другие
- 'ra#.####ubusercontent.com':443
- 'gi##ub.com':443
UDP
- DNS ASK dn#.google
- DNS ASK ra#.####ubusercontent.com
- DNS ASK gi##ub.com
- DNS ASK re#########ets.githubusercontent.com
- 'dn#.google':443
- '18#.#14.96.1':443
- '18#.#14.97.1':443
Другое
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\microsoft.net\taskhostw.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' (со скрытым окном)
- '%WINDIR%\syswow64\reagentc.exe' /disable
