Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\winlogon.exe
- <SYSTEM32>\lsass.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\fontdrvhost.exe
- <SYSTEM32>\dwm.exe
- <SYSTEM32>\sihost.exe
- <SYSTEM32>\svchost.exe
- %WINDIR%\explorer.exe
- <SYSTEM32>\runtimebroker.exe
- <SYSTEM32>\dllhost.exe
- <SYSTEM32>\securityhealthsystray.exe
- <SYSTEM32>\oobe\useroobebroker.exe
- <SYSTEM32>\csrss.exe
следующие пользовательские процессы:
- iexplore.exe
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- nul
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c schtasks /delete /tn "WindowsSystemSync" /f >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c schtasks /delete /tn "Microsoft\Windows\SysMain\WsSwapSync" /f >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ipconfig /flushdns >nul 2>&1
- '<SYSTEM32>\schtasks.exe' /delete /tn "WindowsSystemSync" /f
- '<SYSTEM32>\schtasks.exe' /delete /tn "Microsoft\Windows\SysMain\WsSwapSync" /f
- '<SYSTEM32>\ipconfig.exe' /flushdns
- '<SYSTEM32>\cmd.exe' /c wevtutil cl "System" >nul 2>&1
- '<SYSTEM32>\wevtutil.exe' cl "System"
- '<SYSTEM32>\cmd.exe' /c wevtutil cl "Application" >nul 2>&1
- '<SYSTEM32>\wevtutil.exe' cl "Application"
- '<SYSTEM32>\cmd.exe' /c wevtutil cl "Security" >nul 2>&1
- '<SYSTEM32>\wevtutil.exe' cl "Security"
- '<SYSTEM32>\cmd.exe' /c wevtutil cl "Setup" >nul 2>&1
- '<SYSTEM32>\wevtutil.exe' cl "Setup"
- '<SYSTEM32>\cmd.exe' /c wevtutil cl "Microsoft-Windows-Diagnostics-Performance/Operational" >nul 2>&1
- '<SYSTEM32>\wevtutil.exe' cl "Microsoft-Windows-Diagnostics-Performance/Operational"
- '<SYSTEM32>\cmd.exe' /c wevtutil cl "Microsoft-Windows-Sysmon/Operational" >nul 2>&1
- '<SYSTEM32>\wevtutil.exe' cl "Microsoft-Windows-Sysmon/Operational"
- '<SYSTEM32>\cmd.exe' /c wevtutil cl "Microsoft-Windows-PowerShell/Operational" >nul 2>&1
- '<SYSTEM32>\wevtutil.exe' cl "Microsoft-Windows-PowerShell/Operational"
- '<SYSTEM32>\cmd.exe' /c wevtutil cl "Microsoft-Windows-WMI-Activity/Operational" >nul 2>&1
- '<SYSTEM32>\wevtutil.exe' cl "Microsoft-Windows-WMI-Activity/Operational"
- '<SYSTEM32>\cmd.exe' /c wevtutil cl "Microsoft-Windows-TaskScheduler/Operational" >nul 2>&1
- '<SYSTEM32>\wevtutil.exe' cl "Microsoft-Windows-TaskScheduler/Operational"
- '<SYSTEM32>\cmd.exe' /c wevtutil cl "Microsoft-Windows-BitLocker/BitLocker Management" >nul 2>&1
- '<SYSTEM32>\wevtutil.exe' cl "Microsoft-Windows-BitLocker/BitLocker Management"
- '<SYSTEM32>\cmd.exe' /c wevtutil cl "Microsoft-Windows-Terminal-Services-LocalSessionManager/Operational" >nul 2>&1
- '<SYSTEM32>\wevtutil.exe' cl "Microsoft-Windows-Terminal-Services-LocalSessionManager/Operational"
- '<SYSTEM32>\smss.exe' 000000fc 00000084
- '<SYSTEM32>\csrss.exe' ObjectDirectory=\Windows SharedSection=1024,20480,768 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=sxssrv,4 ProfileControl=Off M...
- '<SYSTEM32>\winlogon.exe'
