Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'My Agent.exe' = '%APPDATA%\WindowsUpdate\My Agent.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\windowsdefender.lnk
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\windowsupdate\my agent.exe
- %APPDATA%\windowsupdate\wd.bat
- %APPDATA%\windowsupdate\id
- nul
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\windowsupdate\my agent.exe
- %APPDATA%\windowsupdate\id
Сетевая активность
Подключается к
- 'pa###bin.com':443
- '15#.#41.70.38':9090
TCP
Другие
- 'pa###bin.com':443
- '15#.#41.70.38':9090
UDP
- DNS ASK pa###bin.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\windowsupdate\my agent.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c icacls "%APPDATA%\WindowsUpdate\wd.bat" /inheritance:r /grant:r %USERNAME%:(RX) /deny %USERNAME%:(DE) >nul 2>&1
- '<SYSTEM32>\icacls.exe' "%APPDATA%\WindowsUpdate\wd.bat" /inheritance:r /grant:r user:(RX) /deny user:(DE)
