Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' advfirewall set allprofiles state off
- '<SYSTEM32>\net.exe' stop wuauserv
- '<SYSTEM32>\net.exe' stop ssdpsrv
Патчит код
в динамической библиотеке AMSI
- Процесс ingyqwn.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс ingyqwn.exe, модуль ntdll.dll
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c powershell -Command Add-MpPreference -DisableRealtimeMonitoring $true
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -DisableRealtimeMonitoring $true
- '<SYSTEM32>\cmd.exe' /c netsh advfirewall set allprofiles state off
- '<SYSTEM32>\cmd.exe' /c wevtutil sl security /enabled:false
- '<SYSTEM32>\wevtutil.exe' sl security /enabled:false
- '<SYSTEM32>\cmd.exe' /c net stop wuauserv
- '<SYSTEM32>\net1.exe' stop wuauserv
- '<SYSTEM32>\cmd.exe' /c net stop ssdpsrv
- '<SYSTEM32>\net1.exe' stop ssdpsrv
