Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Fatality' = '<Полный путь к файлу>'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,<Полный путь к файлу>,C:\Users\Public\Documents\AyreliaSoftwareWF\fatality.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe,<Полный путь к файлу>,C:\Users\Public\Documents\AyreliaSoftwareWF\fatality.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\fatality.lnk
- <SYSTEM32>\tasks\ayreliasoftwarewf autostart
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\AyreliaSoftwareWFM] 'ImagePath' = '<Полный путь к файлу>'
- [HKLM\SYSTEM\CurrentControlSet\Services\AyreliaSoftwareWFC] 'ImagePath' = 'C:\Users\Public\Documents\AyreliaSoftwareWF\fatality.exe'
Создает следующие сервисы
- 'AyreliaSoftwareWFM' <Полный путь к файлу>
- 'AyreliaSoftwareWFC' C:\Users\Public\Documents\AyreliaSoftwareWF\fatality.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Set-MpPreference -DisableRealtimeMonitoring $true; Set-MpPreference -DisableIOAVProtection $true; Set-MpPreference -DisableScriptScanning $true; Set-MpPreference -DisableIntrusionPrev...
Изменения в файловой системе
Создает следующие файлы
- nul
- C:\users\public\documents\ayreliasoftwarewf\fatality.exe
- \device\harddiskvolume1\boot\bcd.log
- \device\harddiskvolume1\boot\bcd
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c powershell -Command "Set-MpPreference -DisableRealtimeMonitoring $true; Set-MpPreference -DisableIOAVProtection $true; Set-MpPreference -DisableScriptScanning $true; Set-MpPreference -Disabl...
- '<SYSTEM32>\cmd.exe' /c schtasks /Change /TN "*" /DISABLE >nul 2>&1
- '<SYSTEM32>\schtasks.exe' /Change /TN "*" /DISABLE
- '<SYSTEM32>\cmd.exe' /c schtasks /Change /TN "AyreliaSoftwareWF AutoStart" /ENABLE >nul 2>&1
- '<SYSTEM32>\schtasks.exe' /Change /TN "AyreliaSoftwareWF AutoStart" /ENABLE
- '<SYSTEM32>\cmd.exe' /c cmd /c echo [InternetShortcut] > "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\Fatality.lnk" && echo URL=file://<Полный путь к файлу> >> "%APPDATA%\Microsoft\Windows\Start Menu\Pr...
- '<SYSTEM32>\cmd.exe' /c echo [InternetShortcut]
- '<SYSTEM32>\cmd.exe' /c schtasks /Create /SC ONLOGON /TN "AyreliaSoftwareWF AutoStart" /TR "<Полный путь к файлу>" /RL HIGHEST /F
- '<SYSTEM32>\schtasks.exe' /Create /SC ONLOGON /TN "AyreliaSoftwareWF AutoStart" /TR "<Полный путь к файлу>" /RL HIGHEST /F
- '<SYSTEM32>\cmd.exe' /c schtasks /Change /TN "AyreliaSoftwareWF AutoStart" /ENABLE
