Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SppExtComObj.Exe] 'Debugger' = 'rundll32.exe SECOPatcher.dll,PatcherMain'
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /t /f /IM SppExtComObj.Exe
- '<SYSTEM32>\netsh.exe' Advfirewall Firewall add rule name=0pen_Port_KMS dir=in action=allow protocol=TCP localport=1688
- '<SYSTEM32>\taskkill.exe' /t /f /IM KMSSS.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\aact_tools\aact.exe
- %APPDATA%\microsoft\windows\start menu\programs\kms-activator.lnk
- %WINDIR%\aact_tools\aact_files\secopatcher.dll
- %WINDIR%\aact_tools\aact_files\kmsss.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\aact_tools\aact_files\kmsss.exe
Сетевая активность
Подключается к
- '12#.0.0.2':1688
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\aact_tools\aact.exe' /ofs=act /taskofs
- '%WINDIR%\aact_tools\aact_files\kmsss.exe' -Port 1688 -PWin RandomKMSPID -PO14 RandomKMSPID -PO15 RandomKMSPID -PO16 RandomKMSPID
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c REG QUERY HKLM\Software\Microsoft\Office /s /v Path /reg:64 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c WMIC /NAMESPACE:\\root\Microsoft\Windows\Defender PATH MSFT_MpPreference call Add ExclusionPath="%WINDIR%\AAct_Tools\AAct.exe" (со скрытым окном)
- '<SYSTEM32>\reg.exe' QUERY HKLM\Software\Microsoft\Office /s /v Path /reg:64
- '<SYSTEM32>\wbem\wmic.exe' /NAMESPACE:\\root\Microsoft\Windows\Defender PATH MSFT_MpPreference call Add ExclusionPath="%WINDIR%\AAct_Tools\AAct.exe"
- '<SYSTEM32>\cmd.exe' /c REG QUERY HKLM\Software\WOW6432Node\Microsoft\Office /s /v Path (со скрытым окном)
- '<SYSTEM32>\reg.exe' QUERY HKLM\Software\WOW6432Node\Microsoft\Office /s /v Path
- '<SYSTEM32>\cmd.exe' /c WMIC /NAMESPACE:\\root\Microsoft\Windows\Defender PATH MSFT_MpPreference call Add ExclusionPath="%WINDIR%\AAct_Tools\AAct_files" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /NAMESPACE:\\root\Microsoft\Windows\Defender PATH MSFT_MpPreference call Add ExclusionPath="%WINDIR%\AAct_Tools\AAct_files"
- '<SYSTEM32>\cmd.exe' /c WMIC /NAMESPACE:\\root\Microsoft\Windows\Defender PATH MSFT_MpPreference call Add ExclusionPath="<SYSTEM32>\SppExtComObjPatcher.exe" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /NAMESPACE:\\root\Microsoft\Windows\Defender PATH MSFT_MpPreference call Add ExclusionPath="<SYSTEM32>\SppExtComObjPatcher.exe"
- '<SYSTEM32>\cmd.exe' /c WMIC /NAMESPACE:\\root\Microsoft\Windows\Defender PATH MSFT_MpPreference call Add ExclusionPath="<SYSTEM32>\SppExtComObjHook.dll" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill.exe /t /f /IM SppExtComObj.Exe (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /NAMESPACE:\\root\Microsoft\Windows\Defender PATH MSFT_MpPreference call Add ExclusionPath="<SYSTEM32>\SppExtComObjHook.dll"
- '<SYSTEM32>\cmd.exe' /c WMIC /NAMESPACE:\\root\Microsoft\Windows\Defender PATH MSFT_MpPreference call Add ExclusionPath="%WINDIR%\AAct_Tools\AAct_files\KMSSS.exe" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /NAMESPACE:\\root\Microsoft\Windows\Defender PATH MSFT_MpPreference call Add ExclusionPath="%WINDIR%\AAct_Tools\AAct_files\KMSSS.exe"
- '<SYSTEM32>\cmd.exe' /c reg.exe delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SppExtComObj.Exe" /f /v "Debugger" (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SppExtComObj.Exe" /f /v "Debugger"
- '<SYSTEM32>\cmd.exe' /c reg.exe delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SppExtComObj.Exe" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SppExtComObj.Exe" /f
- '<SYSTEM32>\cmd.exe' /c Netsh.exe Advfirewall Firewall delete rule name=0pen_Port_KMS protocol=TCP (со скрытым окном)
- '<SYSTEM32>\netsh.exe' Advfirewall Firewall delete rule name=0pen_Port_KMS protocol=TCP
- '<SYSTEM32>\cmd.exe' /c icacls "<SYSTEM32>\SECOPatcher.dll" /reset (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\SECOPatcher.dll" /reset
- '<SYSTEM32>\cmd.exe' /c mklink "<SYSTEM32>\SECOPatcher.dll" "%WINDIR%\AAct_Tools\AAct_files\SECOPatcher.dll" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c icacls "<SYSTEM32>\SECOPatcher.dll" /findsid *S-1-5-32-545 (со скрытым окном)
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\SECOPatcher.dll" /findsid *S-1-5-32-545
- '<SYSTEM32>\cmd.exe' /c reg.exe add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SppExtComObj.Exe" /f /v "Debugger" /t REG_SZ /d "rundll32.exe SECOPatcher.dll,PatcherMain" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SppExtComObj.Exe" /f /v "Debugger" /t REG_SZ /d "rundll32.exe SECOPatcher.dll,PatcherMain"
- '<SYSTEM32>\cmd.exe' /c Netsh.exe Advfirewall Firewall add rule name=0pen_Port_KMS dir=in action=allow protocol=TCP localport=1688 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill.exe /t /f /IM KMSSS.exe (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ipconfig.exe /flushdns (со скрытым окном)
- '<SYSTEM32>\ipconfig.exe' /flushdns
- '<SYSTEM32>\reg.exe' DELETE "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SoftwareProtectionPlatform\0ff1ce15-a989-479d-af46-f275c6370663" /f /reg:64 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c cscript.exe "%ProgramFiles(x86)%\Microsoft Office\Office16\ospp.vbs" //NoLogo /remhst (со скрытым окном)
- '<SYSTEM32>\cscript.exe' "%ProgramFiles(x86)%\Microsoft Office\Office16\ospp.vbs" //NoLogo /remhst
- '<SYSTEM32>\cmd.exe' /c cscript.exe "%ProgramFiles(x86)%\Microsoft Office\Office16\ospp.vbs" //NoLogo /sethst:10.#.0.20 (со скрытым окном)
- '<SYSTEM32>\cscript.exe' "%ProgramFiles(x86)%\Microsoft Office\Office16\ospp.vbs" //NoLogo /sethst:10.#.0.20
- '<SYSTEM32>\cmd.exe' /c cscript.exe "%ProgramFiles(x86)%\Microsoft Office\Office16\ospp.vbs" //NoLogo /setprt:1688 (со скрытым окном)
- '<SYSTEM32>\cscript.exe' "%ProgramFiles(x86)%\Microsoft Office\Office16\ospp.vbs" //NoLogo /setprt:1688
- '<SYSTEM32>\cmd.exe' /c cscript.exe "%ProgramFiles(x86)%\Microsoft Office\Office16\ospp.vbs" //NoLogo /act (со скрытым окном)
- '<SYSTEM32>\cscript.exe' "%ProgramFiles(x86)%\Microsoft Office\Office16\ospp.vbs" //NoLogo /act
- '%WINDIR%\aact_tools\aact_files\kmsss.exe' -Port 1688 -PWin RandomKMSPID -PO14 RandomKMSPID -PO15 RandomKMSPID -PO16 RandomKMSPID (со скрытым окном)
