Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'TaiDgtf' = '"<SYSTEM32>\WindowsPowerShell\v1.0\powershell.exe" -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -File "%TEMP%\km25zet...
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsHealthMonitor' = '%APPDATA%\Microsoft\Windows\SendTo\OneDriveUpdate.exe'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'SysHelper' = '%APPDATA%\Microsoft\Windows\Themes\ThemeSync.exe'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'Setup' = '%APPDATA%\Microsoft\Windows\SendTo\OneDriveUpdate.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\onedrivestandalone
- %APPDATA%\microsoft\windows\start menu\programs\startup\onedrive.lnk
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\Microsoft\Windows\SendTo\OneDriveUpdate.exe"
Внедряет код в
следующие пользовательские процессы:
- onedriveupdate.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\content\3360-3876-<Имя файла>.exe-15-01-57-531.dump
- %TEMP%\content\3360-3876-<Имя файла>.exe-15-02-16-931.dump
- %APPDATA%\taidgtf.exe
- %TEMP%\km25zetjzhj.ps1
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- %APPDATA%\microsoft\windows\sendto\onedriveupdate.exe
- %APPDATA%\microsoft\windows\themes\syshelper.vbs
- %TEMP%\content\4984-1120-onedriveupdate.exe-15-02-46-481.dump
- %TEMP%\content\488-4620-onedriveupdate.exe-15-02-46-511.dump
- %TEMP%\content\4984-1120-onedriveupdate.exe-15-03-05-876.dump
- %TEMP%\content\488-4620-onedriveupdate.exe-15-03-05-898.dump
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\onedriveupdate.exe.log
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\taidgtf.exe
- %APPDATA%\microsoft\windows\sendto\onedriveupdate.exe
- %APPDATA%\microsoft\windows\themes\syshelper.vbs
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' //nologo //b %APPDATA%\Microsoft\Windows\Themes\syshelper.vbs
- '%APPDATA%\microsoft\windows\sendto\onedriveupdate.exe'
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\attrib.exe' +H %APPDATA%\Microsoft\Windows\SendTo\OneDriveUpdate.exe
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v WindowsHealthMonitor /t REG_SZ /d %APPDATA%\Microsoft\Windows\SendTo\OneDriveUpdate.exe /f
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v SysHelper /t REG_SZ /d %APPDATA%\Microsoft\Windows\Themes\ThemeSync.exe /f
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce /v Setup /t REG_SZ /d %APPDATA%\Microsoft\Windows\SendTo\OneDriveUpdate.exe /f
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "$action = New-ScheduledTaskAction -Execute 'C:\\Users\\user\\AppData\\Roaming\\Microsoft\\Windows\\SendTo\\OneDriveUpdate.exe'; $trigger = New-ScheduledTaskTrigger...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "$s = (New-Object -COM WScript.Shell).CreateShortcut('C:\\Users\\user\\AppData\\Roaming\\Microsoft\\Windows\\Start Menu\\Programs\\Startup\\OneDrive.lnk'); $s.Targe...
- '<SYSTEM32>\attrib.exe' +H %APPDATA%\Microsoft\Windows\Themes\syshelper.vbs
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\Microsoft\Windows\SendTo\OneDriveUpdate.exe" (со скрытым окном)
