Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\chromeupdate
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\securityhealthsystray.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\sys_config.ps1
- %APPDATA%\microsoft\windows\svchost.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- %TEMP%\svchost.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\svchost.exe.log
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\svchost.exe
Удаляет файлы, которые сам же создал
- %TEMP%\sys_config.ps1
Изменяет файл HOSTS.
Сетевая активность
Подключается к
- '10#.#48.130.195':7491
TCP
Другие
- '15#.#01.193.91':443
UDP
- DNS ASK ip##pi.com
- DNS ASK ap#.##legram.org
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -File "%TEMP%\sys_config.ps1"
- '%APPDATA%\microsoft\windows\svchost.exe'
- '%TEMP%\svchost.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ipconfig /flushdns
- '<SYSTEM32>\ipconfig.exe' /flushdns
- '<SYSTEM32>\cmd.exe' /c reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v ShowSuperHidden /t REG_DWORD /d 0 /f && powershell -command "&{ $null = New-Object -ComObject Shell.Application;...
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced" /v ShowSuperHidden /t REG_DWORD /d 0 /f
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "&{ $null = New-Object -ComObject Shell.Application; (New-Object -ComObject Shell.Application).Windows() | ForEach-Object { $_.Refresh() } }"
- '<SYSTEM32>\schtasks.exe' /create /tn "ChromeUpdate" /sc ONLOGON /tr "%TEMP%\svchost.exe" /rl HIGHEST /f
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -File "%TEMP%\sys_config.ps1" (со скрытым окном)
