Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windowspowershell.wbemscripting.windowsdata
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\Cndom6] 'ImagePath' = 'C:\Users\Public\Documents\x86-Microsoft-Windowsdata\Cndom6.sys'
Создает следующие сервисы
- 'Cndom6' C:\Users\Public\Documents\x86-Microsoft-Windowsdata\Cndom6.sys
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-sar85.tmp\<Имя файла>.tmp
- %TEMP%\is-rsq79.tmp\_isetup\_setup64.tmp
- C:\users\public\documents\is-e5ani.tmp
- C:\users\public\documents\is-407u9.tmp
- C:\users\public\documents\men.exe
- C:\users\public\documents\x86-microsoft-windowsdata\tree.exe
- C:\users\public\documents\x86-microsoft-windowsdata\shell.log
- C:\users\public\documents\x86-microsoft-windowsdata\360.log
- C:\users\public\documents\x86-microsoft-windowsdata\wudfcompanionhoste.exe
- C:\users\public\documents\x86-microsoft-windowsdata\log.dll
- C:\users\public\documents\x86-microsoft-windowsdata\startmenuexperiencehostker.exe
- C:\users\public\documents\x86-microsoft-windowsdata\cndom6.sys
- %ALLUSERSPROFILE%\displaysessioncontainers.log
- nul
Удаляет файлы, которые сам же создал
- C:\users\public\documents\men.b
- %TEMP%\is-rsq79.tmp\_isetup\_setup64.tmp
- %TEMP%\is-sar85.tmp\<Имя файла>.tmp
- C:\users\public\documents\x86-microsoft-windowsdata\360.log
- C:\users\public\documents\x86-microsoft-windowsdata\shell.log
- C:\users\public\documents\x86-microsoft-windowsdata\tree.exe
Перемещает следующие файлы
- C:\users\public\documents\is-e5ani.tmp в C:\users\public\documents\men.b
- C:\users\public\documents\is-407u9.tmp в C:\users\public\documents\server.log
- C:\users\public\documents\server.log в C:\users\public\documents\x86-microsoft-windowsdata\server.log
Сетевая активность
Подключается к
- 'xu###cai.com':5050
TCP
Другие
- 'xu###cai.com':5050
UDP
- DNS ASK xu###cai.com
Другое
Создает и запускает на исполнение
- '%TEMP%\is-sar85.tmp\<Имя файла>.tmp' /SL5="$B01FC,3529773,845824,<Полный путь к файлу>"
- 'C:\users\public\documents\men.exe'
- 'C:\users\public\documents\x86-microsoft-windowsdata\startmenuexperiencehostker.exe'
- 'C:\users\public\documents\x86-microsoft-windowsdata\wudfcompanionhoste.exe'
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Enable-NetAdapter -Name 'Ethernet2' -Confirm:$false; Enable-NetAdapter -Name 'Ethernet1' -Confirm:$false; Enable-NetAdapter -Name 'Ethernet0' -Confirm:$false; Enable-NetAdapter -Name ...
- '<SYSTEM32>\cmd.exe' /c netsh advfirewall firewall show rule name=all verbose (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall show rule name=all verbose
- '<SYSTEM32>\cmd.exe' /c "takeown /f "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Schedule\\TaskCache\\Tree\WindowsPowerShell.WbemScripting.WindowsData" /a >nul 2>&1 & icacls "HKLM\\SOFTWARE\\Microsoft\\W... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "ping -n 1 127.0.0.1 >nul & del /f /q ""C:\Users\Public\Documents\men.exe"" & del /f /q ""%0"""
- '<SYSTEM32>\ping.exe' -n 1 127.0.0.1
- '<SYSTEM32>\takeown.exe' /f "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Schedule\\TaskCache\\Tree\WindowsPowerShell.WbemScripting.WindowsData" /a
- '<SYSTEM32>\icacls.exe' "HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Schedule\\TaskCache\\Tree\WindowsPowerShell.WbemScripting.WindowsData" /grant Administrators:F
- '<SYSTEM32>\takeown.exe' /f "C:\\Windows\\System32\\Tasks\WindowsPowerShell.WbemScripting.WindowsData" /grant Administrators:F
- '<SYSTEM32>\icacls.exe' "C:\\Windows\\System32\\Tasks\WindowsPowerShell.WbemScripting.WindowsData" /deny Everyone:D
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command \"$regPath = 'HKLM\\SOFTWARE\\Microsoft\\Windows NT\\CurrentVersion\\Schedule\\TaskCache\\Tree\WindowsPowerShell.WbemScripting.WindowsData'; $acl = (Get-Item -Path $regPath).GetAccessC...
- 'C:\users\public\documents\men.exe' (со скрытым окном)
- 'C:\users\public\documents\x86-microsoft-windowsdata\startmenuexperiencehostker.exe' (со скрытым окном)
- 'C:\users\public\documents\x86-microsoft-windowsdata\wudfcompanionhoste.exe' (со скрытым окном)
