Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Среду восстановления Windows (Windows Recovery Environment)
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- nul
- %ALLUSERSPROFILE%\microsoft\drm\th9173.tmp
Сетевая активность
Подключается к
- 'pa###cache.com':443
- '19#.#32.214.172':80
- 'gi##ub.com':443
- 'oc##.#ectigo.com':80
- 're#########ets.githubusercontent.com':443
- 'x1.#.lencr.org':80
- '23.##5.2.144':80
- 'r1#.#.lencr.org':80
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?b4##############
- http://oc##.#ectigo.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBS3DhJWomGbOJFU%2Fpy58BaOB6aMCwQUF5moBMFv5C1wqAoQPQPT6Rq4JmMCEB3CicHq2vsE6dHPU9XXIlM%3D
- http://r1#.#.lencr.org/78.crl
Другие
- 'pa###cache.com':443
- 'gi##ub.com':443
- 're#########ets.githubusercontent.com':443
UDP
- DNS ASK pa###cache.com
- DNS ASK gi##ub.com
- DNS ASK oc##.#ectigo.com
- DNS ASK re#########ets.githubusercontent.com
- DNS ASK x1.#.lencr.org
- DNS ASK r1#.#.lencr.org
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ping -n 1 -w 1000 8.#.8.8 > nul (со скрытым окном)
- '<SYSTEM32>\ping.exe' -n 1 -w 1000 8.#.8.8
- '<SYSTEM32>\cmd.exe' /C reagentc /disable (со скрытым окном)
- '<SYSTEM32>\reagentc.exe' /disable
- '<SYSTEM32>\cmd.exe' /C takeown /F "<SYSTEM32>\reagentc.exe" (со скрытым окном)
- '<SYSTEM32>\takeown.exe' /F "<SYSTEM32>\reagentc.exe"
- '<SYSTEM32>\cmd.exe' /C icacls "<SYSTEM32>\reagentc.exe" /grant Administrators:F (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\reagentc.exe" /grant Administrators:F
- '<SYSTEM32>\cmd.exe' /C icacls "<SYSTEM32>\reagentc.exe" /deny Everyone:RX (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\reagentc.exe" /deny Everyone:RX
- '<SYSTEM32>\cmd.exe' /C powercfg /change monitor-timeout-ac 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change monitor-timeout-ac 0
- '<SYSTEM32>\cmd.exe' /C powercfg /change monitor-timeout-dc 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change monitor-timeout-dc 0
- '<SYSTEM32>\cmd.exe' /C powercfg /change standby-timeout-ac 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change standby-timeout-ac 0
- '<SYSTEM32>\cmd.exe' /C powercfg /change standby-timeout-dc 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change standby-timeout-dc 0
- '<SYSTEM32>\cmd.exe' /C powercfg /change hibernate-timeout-ac 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change hibernate-timeout-ac 0
- '<SYSTEM32>\cmd.exe' /C powercfg /change hibernate-timeout-dc 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change hibernate-timeout-dc 0
- '<SYSTEM32>\cmd.exe' /C powercfg /hibernate off (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /hibernate off
- '<SYSTEM32>\svchost.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "New-NetFirewallRule -DisplayName 'Windows Device Host' -Description 'Windows Device Host' -Group 'Windows Device Management' -Direction Outbound -Action Allow -Protocol TCP -RemoteAdd... (со скрытым окном)
