Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'svchost' = '"%APPDATA%\svchost.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\svchost
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
добавляет исключения антивируса с помощью следующих ключей реестра:
- [HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows Defender\Exclusions\Paths] '%APPDATA%\svchost.exe' = '00000000'
добавляет исключения антивируса:
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\svchost.exe" -Force
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\calc.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\svchost.exe
- %TEMP%\tmp7a03.tmp.bat
- %LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\<Имя файла>.exe.log
- nul
- %LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\svchost.exe.log
- %APPDATA%\ghijkl nopqrstu wxy\ghijkl nopqrstu wxy.exe
- %APPDATA%\ghijkl nopqrstu wxy\ghijkl nopqrstu wxy.exe.lnk
- aeuli
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\ghijkl nopqrstu wxy\ghijkl nopqrstu wxy.exe
Удаляет файлы, которые сам же создал
- %APPDATA%\ghijkl nopqrstu wxy\ghijkl nopqrstu wxy.exe.lnk
Другое
Создает и запускает на исполнение
- '%APPDATA%\svchost.exe'
- '%APPDATA%\ghijkl nopqrstu wxy\ghijkl nopqrstu wxy.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "svchost" /tr '"%APPDATA%\svchost.exe"' & exit (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\tmp7A03.tmp.bat""
- '%WINDIR%\syswow64\schtasks.exe' /create /f /sc onlogon /rl highest /tn "svchost" /tr '"%APPDATA%\svchost.exe"'
- '%WINDIR%\syswow64\timeout.exe' 3
- '%WINDIR%\syswow64\calc.exe'
- '%WINDIR%\syswow64\cmd.exe' /c del %WINDIR%\SysWOW64\calc.exe > nul (со скрытым окном)
- '%ProgramFiles%\windowsapps\microsoft.windowscalculator_10.1906.55.0_x64__8wekyb3d8bbwe\calculator.exe' -ServerName:App.AppXsm3pg4n7er43kdh1qp4e79f1j7am68r8.mca
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\svchost.exe" -Force (со скрытым окном)
