Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\Windows System Service] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\Windows System Service] 'ImagePath' = '%WINDIR%\Temp\Windows Host Service.exe'
- [HKLM\SYSTEM\CurrentControlSet\Services\System Security Purview] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\System Security Purview] 'ImagePath' = '%WINDIR%\Temp\System Security.exe /guard'
- [HKLM\SYSTEM\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%WINDIR%\Temp\WinRing0x64.sys'
Создает следующие сервисы
- 'Windows System Service' %WINDIR%\Temp\Windows Host Service.exe
- 'System Security Purview' %WINDIR%\Temp\System Security.exe /guard
- 'WinRing0_1_2_0' %WINDIR%\Temp\WinRing0x64.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса с помощью следующих ключей реестра:
- [HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\Temp' = '00000000'
- [HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Extensions] '.exe' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\temp\windows host service.exe
- %WINDIR%\temp\system security.exe
- %WINDIR%\temp\wms temp.exe
- %WINDIR%\temp\{70393261-50d1-48fc-8282-192aa771e808}.txt
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\temp\windows host service.exe
- %WINDIR%\temp\system security.exe
- %WINDIR%\temp\wms temp.exe
- %WINDIR%\temp\{70393261-50d1-48fc-8282-192aa771e808}.txt
Сетевая активность
Подключается к
- '64.##8.92.128':443
TCP
Другие
- '15#.#01.129.91':443
- '64.##8.92.128':443
Другое
Создает и запускает на исполнение
- '%WINDIR%\temp\windows host service.exe'
- '%WINDIR%\temp\system security.exe' /guard
- '%WINDIR%\temp\wms temp.exe' --url=stratum+tcp://64.##8.92.128:443 --user=45XUfZoLdAF66AfVrH5A7kZuTcLBSwXXSAASDift96GoFA1zdUq8FQYPc5H5L335smaoY4Y8neRLBQ8GZZ8jmm9oRstE5WG --keepalive=true --nicehash=false --cpu-max-threads-...
Запускает на исполнение
- '%WINDIR%\temp\wms temp.exe' --url=stratum+tcp://64.##8.92.128:443 --user=45XUfZoLdAF66AfVrH5A7kZuTcLBSwXXSAASDift96GoFA1zdUq8FQYPc5H5L335smaoY4Y8neRLBQ8GZZ8jmm9oRstE5WG --keepalive=true --nicehash=false --cpu-max-threads-... (со скрытым окном)
