Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\system.lnk
- <SYSTEM32>\tasks\audio system
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath "C:\Sound,%APPDATA%\Sound,C:\Netframework.4.5.2"
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\sound\ntrights.exe
- %APPDATA%\sound\system.bat
- %APPDATA%\sound\system.vbs
- %APPDATA%\sound\system.xml
- %APPDATA%\sound\system1.bat
- %APPDATA%\sound\system1.vbs
- %APPDATA%\sound\unistall.bat
- %APPDATA%\sound\unistall.vbs
- %APPDATA%\sound\update.vbs
- %APPDATA%\sound\wget.vbs
- %APPDATA%\sound\winio64.sys
- %APPDATA%\sound\winring0x64.sys
- %APPDATA%\sound\7za.dll
- %APPDATA%\sound\7za.exe
- %APPDATA%\sound\7zxa.dll
- %APPDATA%\sound\audio.vbs
- %APPDATA%\sound\downtrj.bat
- %APPDATA%\sound\gtservices.exe
- %APPDATA%\sound\mouse.bat
- %APPDATA%\sound\mouse.exe
- C:\sound\7za.exe
- C:\sound\7zxa.dll
- C:\sound\7za.dll
- C:\sound\audio.vbs
- C:\sound\downtrj.bat
- C:\sound\gtservices.exe
- C:\sound\mouse.exe
- C:\sound\mouse.bat
- C:\sound\ntrights.exe
- C:\sound\system.bat
- C:\sound\system.vbs
- C:\sound\system1.vbs
- C:\sound\system1.bat
- C:\sound\update.vbs
- C:\sound\wget.vbs
- C:\sound\winring0x64.sys
- C:\sound\winio64.sys
- C:\sound\system.xml
- C:\netframework.4.5.2\gtservices.exe
- C:\netframework.4.5.2\system1.bat
- C:\netframework.4.5.2\system1.vbs
- C:\netframework.4.5.2\winring0x64.sys
- C:\netframework.4.5.2\winio64.sys
- C:\netframework.4.5.2\mouse.bat
- C:\netframework.4.5.2\mouse.exe
- nul
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\sound\system.bat
- %APPDATA%\sound\system.vbs
- C:\netframework.4.5.2\audio.exe
Перемещает следующие файлы
- C:\netframework.4.5.2\gtservices.exe в C:\netframework.4.5.2\audio.exe
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' %APPDATA%\Sound\unistall.vbs
- '<SYSTEM32>\wscript.exe' %APPDATA%\Sound\audio.vbs
- '%APPDATA%\sound\ntrights.exe' -u user +r SeLockMemoryPrivilege
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "(Get-Content 'C:\Sound\system.xml') -replace '22', 'S-1-5-21-4226853953-3309226944-3078887307-1000' | Out-File -Encoding ASCII 'C:\Sound\system.xml'"
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /k unistall.bat (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /setactive 8c5e7fda-e8bf-4a96-9a85-a6e23a8c635c
- '<SYSTEM32>\attrib.exe' +H system.bat
- '<SYSTEM32>\attrib.exe' +H system.vbs
- '<SYSTEM32>\icacls.exe' C:\Sound\system.bat /deny *S-1-1-0:(DE,WA) *S-1-5-7:(DE,WA)
- '<SYSTEM32>\icacls.exe' C:\Sound\system.bat /deny *S-1-1-0:(DE,DC,WA) *S-1-5-7:(DE,DC,WA)
- '<SYSTEM32>\cmd.exe' /c powershell -Command "[System.Security.Principal.WindowsIdentity]::GetCurrent().User.Value"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "[System.Security.Principal.WindowsIdentity]::GetCurrent().User.Value"
- '<SYSTEM32>\schtasks.exe' /Create /TN "audio system" /XML "C:\Sound\system.xml"
- '<SYSTEM32>\tskill.exe' Monitor
- '<SYSTEM32>\tskill.exe' smBootTime
- '<SYSTEM32>\tskill.exe' Suo12_StartupManager
- '<SYSTEM32>\tskill.exe' RealTimeProtector
- '<SYSTEM32>\ping.exe' -n 50 localhost
- '<SYSTEM32>\attrib.exe' +H C:\Netframework.4.5.2\audio.exe
- '<SYSTEM32>\attrib.exe' +H C:\Netframework.4.5.2
- '<SYSTEM32>\attrib.exe' +H C:\Sound
- '<SYSTEM32>\cmd.exe' /c del "%APPDATA%\Sound\unistall.bat"
- '<SYSTEM32>\wscript.exe' %APPDATA%\Sound\unistall.vbs (со скрытым окном)
- '<SYSTEM32>\wscript.exe' %APPDATA%\Sound\audio.vbs (со скрытым окном)
