Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'SystemHealth' = '%WINDIR%\Fonts\dialer.exe'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'SystemHealth' = '%WINDIR%\Fonts\dialer.exe'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'MicrosoftEdge' = '%WINDIR%\Fonts\dialer.exe'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad] 'obj' = 'EDE69CA1-5BE6-47DD-A79B-279474FDB9A8'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] 'SharedTask' = 'EDE69CA1-5BE6-47DD-A79B-279474FDB9A8'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'SystemHealth' = '%WINDIR%\Fonts\dialer.exe'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'SystemHealth' = '%WINDIR%\Fonts\dialer.exe'
- [HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\Run] 'SystemHealthWOW' = '%WINDIR%\Fonts\dialer.exe'
- [HKLM\SOFTWARE\WOW6432Node\Microsoft\Windows\CurrentVersion\RunOnce] 'SystemHealthWOW' = '%WINDIR%\Fonts\dialer.exe'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'MicrosoftEdgeLM' = '%WINDIR%\Fonts\dialer.exe'
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad] 'objLM' = 'EDE69CA1-5BE6-47DD-A79B-279474FDB9A8'
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks] 'EDE69CA1-5BE6-47DD-A79B-279474FDB9A8' = 'EDE69CA1-5BE6-47DD-A79B-279474FDB9A8'
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler] 'SharedTaskLM' = 'EDE69CA1-5BE6-47DD-A79B-279474FDB9A8'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "%WINDIR%\Fonts\dialer.exe"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SystemSettings.exe] 'Debugger' = 'ZmEVIlNt9VvBkzdDcf3nhOK6jj4B8maVY9W'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\WinStore.App.exe] 'Debugger' = 'YKD3A4iLcrVv7UNi15wHKcIwjrLuX5ZnkdE'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\utilman.exe] 'Debugger' = '3Zm3s9DrONy6rvDiZm2M5CRTStxyhSsKePU'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.exe] 'Debugger' = 'JPCDHHu3jvud9TW9AsQJ1ISk9MOK6enbba4'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\dialer.exe.lnk
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Интерпретатора командной строки (CMD)
- Диспетчера задач (Taskmgr)
блокирует:
- Компонент восстановления системы (SR)
- Средство контроля пользовательских учетных записей (UAC)
изменяет следующие системные настройки:
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFind' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoClose' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoControlPanel' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFileMenu' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoCommonGroups' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'StartMenuLogOff' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSetTaskbar' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoTrayContextMenu' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoViewContextMenu' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoFolderOptions' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoSecurityTab' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoViewOnDrive' = '03FFFFFF'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoDrives' = '03FFFFFF'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoLogoff' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoManageMyComputerVerb' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoShellSearchButton' = '00000001'
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionPath \"C:/\""
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\fonts\dialer.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\dialer.exe.lnk
- %LOCALAPPDATA%\microsoft\windows\startuptasks\dialer.exe.lnk
- C:\users\default\appdata\roaming\microsoft\windows\start menu\programs\startup\dialer.exe.lnk
- <SYSTEM32>\grouppolicy\machine\scripts\startup\dealirgpo.cmd
- <SYSTEM32>\grouppolicy\user\scripts\logon\dealirgpo.cmd
- <SYSTEM32>\grouppolicy\machine\scripts\shutdown\dealirgpo.cmd
- <SYSTEM32>\grouppolicy\user\scripts\logoff\dealirgpo.cmd
- %WINDIR%\drivers\data.bin
- %LOCALAPPDATA%\microsoft\windows\actioncentercache\windows-systemtoast-securityandmaintenance_10_0.png
- %TEMP%\content\516-2380-dialer.exe-17-03-44-195.dump
- %TEMP%\content\516-2380-dialer.exe-17-03-44-325.dump
- %TEMP%\esfse.log
- %TEMP%\tmpc61a.tmp.mp3
- %LOCALAPPDATA%\microsoft\windows media\12.0\wmsdkns.xml
- %LOCALAPPDATA%\microsoft\windows media\12.0\wmsdkns.dtd
- %LOCALAPPDATA%\microsoft\windows media\12.0\wmsdkns.xml.bak
- %LOCALAPPDATA%\microsoft\windows media\12.0\wmsdknsd.xml
Удаляет файлы, которые сам же создал
- %LOCALAPPDATA%\microsoft\windows media\12.0\wmsdkns.xml.bak
Другое
Ищет следующие окна
- ClassName: 'WMPlayerApp' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\fonts\dialer.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c timeout -t 2 & del "<Полный путь к файлу>"
- '<SYSTEM32>\timeout.exe' -t 2
- '<SYSTEM32>\cmd.exe' /c schtasks /create /tn "MicrosoftEdgeUpdateTaskMachineCore{B4945D9E-B611-4874-9DA3-E11E3D4951E6}" /tr "%WINDIR%\Fonts\dialer.exe" /sc onlogon /f /ru ADMIN /rl HIGHEST
- '<SYSTEM32>\schtasks.exe' /create /tn "MicrosoftEdgeUpdateTaskMachineCore{B4945D9E-B611-4874-9DA3-E11E3D4951E6}" /tr "%WINDIR%\Fonts\dialer.exe" /sc onlogon /f /ru ADMIN /rl HIGHEST
- '<SYSTEM32>\shutdown.exe' /r /f /t 10
Пытается завершить работу операционной системы Windows.
