Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
удаляет теневые копии разделов.
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' advfirewall set allprofiles state off
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\z_engine_tmp\svchost.exe
- nul
- %TEMP%\z_engine_tmp\tor_svc.exe
- %TEMP%\z_engine_tmp\t_data\control-port-259421013.tmp
- %TEMP%\z_engine_tmp\t_data\state.tmp
Удаляет файлы, которые сам же создал
- %TEMP%\z_engine_tmp\t_data\control-port-259421013
Перемещает следующие файлы
- %TEMP%\z_engine_tmp\t_data\control-port-259421013.tmp в %TEMP%\z_engine_tmp\t_data\control-port-259421013
- %TEMP%\z_engine_tmp\t_data\state.tmp в %TEMP%\z_engine_tmp\t_data\state
Подменяет следующие файлы
- %TEMP%\z_engine_tmp\t_data\control-port-259421013.tmp
- %TEMP%\z_engine_tmp\t_data\control-port-259421013
Самоперемещается
- из <Полный путь к файлу> в <Полный путь к файлу>.tmp
Самоудаляется.
Сетевая активность
Подключается к
- 'localhost':49693
- 'localhost':49695
- 'localhost':49697
- '16#.#57.210.69':9001
- '18#.#0.4.149':9004
- '18#.#41.208.71':7100
- '21#.#39.215.221':9001
- '19#.#8.81.140':443
- '31.##3.0.210':443
- '31.##4.236.104':9001
- '21#.#96.147.77':443
- '16#.#5.107.247':9001
- '18#.#20.101.36':10136
- '15#.#9.252.116':587
- '89.#8.5.0':853
TCP
Другие
- 'localhost':49695
- 'localhost':49696
UDP
- DNS ASK ap#.#pify.org
Другое
Создает и запускает на исполнение
- '%TEMP%\z_engine_tmp\svchost.exe'
- '%TEMP%\z_engine_tmp\tor_svc.exe' --DataDirectory %TEMP%\z_engine_tmp\t_data --CookieAuthentication 1 --DisableNetwork 1 --hush --SocksPort auto -f %TEMP%\z_engine_tmp\t_data\torrc-518098198 --ControlPort auto --ControlPortWrit...
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c start "" %TEMP%\z_engine_tmp\svchost.exe
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Start-Sleep -s 2; [System.GC]::Collect(); [System.GC]::WaitForPendingFinalizers(); Remove-Item -Path '<Полный путь к файлу>.tmp' -Force -ErrorAction SilentlyContinue" (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy ignoreallfailures (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Get-WmiObject Win32_ShadowCopy | ForEach-Object { $_.Delete() }" (со скрытым окном)
- '<SYSTEM32>\wbadmin.exe' delete catalog -quiet (со скрытым окном)
- '<SYSTEM32>\wbengine.exe'
- '<SYSTEM32>\vds.exe'
- '<SYSTEM32>\netsh.exe' advfirewall set allprofiles state off (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' /set {default} recoveryenabled no (со скрытым окном)
- '<SYSTEM32>\vssadmin.exe' delete shadows /all /quiet (со скрытым окном)
