Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\CompatTelRunner.exe] 'Debugger' = ''
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\AggregatorHost.exe] 'Debugger' = ''
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\DeviceCensus.exe] 'Debugger' = ''
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\FeatureLoader.exe] 'Debugger' = ''
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\BingChatInstaller.exe] 'Debugger' = ''
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\BGAUpsell.exe] 'Debugger' = ''
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\BCILauncher.exe] 'Debugger' = ''
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\CDPSvc] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\FontCache] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\DoSvc] 'Start' = '00000002'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует отображение:
- скрытых файлов
- расширений файлов
блокирует:
- Центр поддержки Windows (Action Center)
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rsopt_restore_4216.ps1
- %TEMP%\rsopt_restore_4216.log
- %TEMP%\rsopt_4216.reg
Удаляет файлы, которые сам же создал
- %TEMP%\rsopt_restore_4216.ps1
- %TEMP%\rsopt_restore_4216.log
- %TEMP%\rsopt_4216.reg
Другое
Ищет следующие окна
- ClassName: 'RegEdit_RegEdit' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -ExecutionPolicy Bypass -File %TEMP%\rsopt_restore_4216.ps1
Запускает на исполнение
- '<SYSTEM32>\bcdedit.exe' /enum
- '<SYSTEM32>\bcdedit.exe' /deletevalue useplatformtick
- '%WINDIR%\regedit.exe' /s %TEMP%\RSOpt_4216.reg
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command "netsh int ipv4 set global loopbacklargemtu=disable; netsh int ipv6 set global loopbacklargemtu=disable"
- '<SYSTEM32>\netsh.exe' int ipv4 set global loopbacklargemtu=disable
- '<SYSTEM32>\netsh.exe' int ipv6 set global loopbacklargemtu=disable
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command "Get-NetTCPSetting | Select-Object -ExpandProperty SettingName -Unique"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command "Set-NetTCPSetting -SettingName 'Internet' -CongestionProvider CUBIC -ErrorAction Stop"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command "netsh int tcp set supplemental template=Internet congestionprovider=cubic"
- '<SYSTEM32>\netsh.exe' int tcp set supplemental template=Internet congestionprovider=cubic
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command "Set-NetTCPSetting -SettingName 'Datacenter' -CongestionProvider CUBIC -ErrorAction Stop"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command "netsh int tcp set supplemental template=Datacenter congestionprovider=cubic"
- '<SYSTEM32>\netsh.exe' int tcp set supplemental template=Datacenter congestionprovider=cubic
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command "Set-NetTCPSetting -SettingName 'Compat' -CongestionProvider CUBIC -ErrorAction Stop"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command "netsh int tcp set supplemental template=Compat congestionprovider=cubic"
- '<SYSTEM32>\netsh.exe' int tcp set supplemental template=Compat congestionprovider=cubic
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command "Set-NetTCPSetting -SettingName 'InternetCustom' -CongestionProvider CUBIC -ErrorAction Stop"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command "netsh int tcp set supplemental template=InternetCustom congestionprovider=cubic"
- '<SYSTEM32>\netsh.exe' int tcp set supplemental template=InternetCustom congestionprovider=cubic
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command "Set-NetTCPSetting -SettingName 'DatacenterCustom' -CongestionProvider CUBIC -ErrorAction Stop"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -ExecutionPolicy Bypass -Command "netsh int tcp set supplemental template=DatacenterCustom congestionprovider=cubic"
