Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'SoftConnectAgent' = '"%ALLUSERSPROFILE%\SoftConnect\SoftConnectAgent.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\softconnectwatchdog
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\softconnect\agent.log
- %ALLUSERSPROFILE%\softconnect\softconnectagent.exe
- %ALLUSERSPROFILE%\softconnect\watchdog.ps1
Присваивает атрибут 'скрытый' для следующих файлов
- %ALLUSERSPROFILE%\softconnect\softconnectagent.exe
Сетевая активность
Подключается к
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Запросы HTTP POST
- http://18#.#82.187.151/api/agent/register
Другие
- '18#.#82.187.151':443
UDP
- DNS ASK x1.#.lencr.org
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c icacls "%ALLUSERSPROFILE%\SoftConnect" /inheritance:r /grant:r "SYSTEM:(OI)(CI)F" /grant:r "Administrators:(OI)(CI)F" /grant:r "Users:(OI)(CI)RX" /T /Q
- '<SYSTEM32>\icacls.exe' "%ALLUSERSPROFILE%\SoftConnect" /inheritance:r /grant:r "SYSTEM:(OI)(CI)F" /grant:r "Administrators:(OI)(CI)F" /grant:r "Users:(OI)(CI)RX" /T /Q
- '<SYSTEM32>\schtasks.exe' /create /tn "SoftConnectWatchdog" /tr "powershell.exe -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -File '%ALLUSERSPROFILE%\SoftConnect\watchdog.ps1'" /sc minute /mo 5 /f /rl highest ...
