Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdateService' = '"%APPDATA%\.SystemUpdateCache\WindowsUpdateService.exe"'
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\.systemupdatecache\windowsupdateservice.exe
- %APPDATA%\.systemupdatecache\start_seq.ps1
- %APPDATA%\.systemupdatecache\debug_start.txt
- %APPDATA%\.systemupdatecache\log.txt
- %APPDATA%\.systemupdatecache\periodic.ps1
- %APPDATA%\.systemupdatecache\debug_periodic.txt
Удаляет файлы, которые сам же создал
- %APPDATA%\.systemupdatecache\start_seq.ps1
- %APPDATA%\.systemupdatecache\periodic.ps1
Подменяет следующие файлы
- %APPDATA%\.systemupdatecache\periodic.ps1
Сетевая активность
UDP
- DNS ASK di##ord.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\.systemupdatecache\windowsupdateservice.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -ExecutionPolicy Bypass -File "%APPDATA%\.SystemUpdateCache\start_seq.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -ExecutionPolicy Bypass -File "%APPDATA%\.SystemUpdateCache\periodic.ps1"
Запускает на исполнение
- '%APPDATA%\.systemupdatecache\windowsupdateservice.exe' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -ExecutionPolicy Bypass -File "%APPDATA%\.SystemUpdateCache\start_seq.ps1" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -ExecutionPolicy Bypass -File "%APPDATA%\.SystemUpdateCache\periodic.ps1" (со скрытым окном)
