Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'deletere' = 'SCHTASKS /delete /f /tn "resystem"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\resystem
Вредоносные функции
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\ac\microsoft\cryptneturlcache\metadata\e2c6cbaf0af08cf203ba74bf0d0ab6d5_eaf5d55d93603a879fa973006301f24f
Удаляет следующие системные файлы
- %WINDIR%\tasks\sa.dat
Изменяет следующие файлы
- %ALLUSERSPROFILE%\microsoft\windows\apprepository\staterepository-machine.srd
- %LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\ac\microsoft\cryptneturlcache\metadata\57c8edb95df3f0ad4ee2dc2b8cfd4157
- %LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\ac\microsoft\cryptneturlcache\metadata\fb0d848f74f70bb2eaa93746d24d9749
- %LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\ac\microsoft\cryptneturlcache\metadata\77ec63bda74bd0d0e0426dc8f8008506
- %LOCALAPPDATA%\packages\microsoft.windows.search_cw5n1h2txyewy\ac\microsoft\cryptneturlcache\content\77ec63bda74bd0d0e0426dc8f8008506
Сетевая активность
Подключается к
- 'ap#.msn.com':443
- '10#.#1.38.38':80
- 'oneocsp.microsoft.com':80
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?77##############
- http://oneocsp.microsoft.com/ocsp/MFQwUjBQME4wTDAJBgUrDgMCGgUABBR0TBEVYklX7A9yLoLD9hqmCWDxFgQU3pGGSLehMVkx8UtfB6nciHnaqHYCEzMAAAAPMyBlN%2B5Crk8AAAAAAA8%3D
Другие
- 'ap#.msn.com':443
UDP
- DNS ASK ap#.msn.com
- DNS ASK oneocsp.microsoft.com
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: ''
- ClassName: 'Proxy Desktop' WindowName: ''
- ClassName: 'ApplicationFrameWindow' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: 'BluetoothNotificationAreaIconWindowClass'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: ''
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /rl HIGHEST /sc once /tn "resystem" /tr "cmd /c shutdown /r /f /t 0 " /st 21:40:03 (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /f /rl HIGHEST /sc once /tn "resystem" /tr "cmd /c shutdown /r /f /t 0 " /st 21:40:03
- '%WINDIR%\syswow64\cmd.exe' /c gpupdate /force (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /timeout 6 (со скрытым окном)
- '%WINDIR%\syswow64\gpupdate.exe' /force
- '%WINDIR%\syswow64\cmd.exe' /c bcdedit /set {default} bootmenupolicy legacy (со скрытым окном)
- '%WINDIR%\explorer.exe'
- '%WINDIR%\syswow64\explorer.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 3&del /q "<Полный путь к файлу>" (со скрытым окном)
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
- '%WINDIR%\systemapps\microsoft.windows.search_cw5n1h2txyewy\searchapp.exe' -ServerName:CortanaUI.AppX8z9r6jm96hw4bsbneegw0kyxx296wr9t.mca
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
