Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '%APPDATA%\WindowsUpdate.exe'
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\windowsupdate.exe
- nul
- %TEMP%\chrome_pwd_1782767112516889900.db
Удаляет файлы, которые сам же создал
- %TEMP%\chrome_pwd_1782767112516889900.db
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\vault\userprofileroaming\latest.dat
Сетевая активность
Подключается к
- 'di##ord.com':443
TCP
Другие
- 'di##ord.com':443
UDP
- DNS ASK di##ord.com
Другое
Ищет следующие окна
- ClassName: 'ConsoleWindowClass' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Run /v WindowsUpdate /t REG_SZ /d %APPDATA%\WindowsUpdate.exe /f
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command " Add-Type -AssemblyName System.Runtime.WindowsRuntime $winRt = [Windows.Security.Credentials.PasswordVault,Windows.Security.Credentials,ContentType=...
- '<SYSTEM32>\cmdkey.exe' /list
- '<SYSTEM32>\vaultcmd.exe' /listcreds: "Windows Credentials" /all
