Техническая информация
Отработавшее пользовательское сигма правило:
- 24357373-078f-44ed-9ac4-6d334a668a11
- de587dce-915e-4218-aac4-835ca6af6f70
- 20f0ee37-5942-4e45-b7d5-c5b5db9df5cd
- 92626ddd-662c-49e3-ac59-f6535f12d189
- 81325ce1-be01-4250-944f-b4789644556f
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WinSvc' = '<SYSTEM32>\winsvc.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\winsvc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\dxdiag_1700.exe
- nul
- <SYSTEM32>\winsvc.exe
- %TEMP%\winsvc.xml
Удаляет файлы, которые сам же создал
- %TEMP%\winsvc.xml
Сетевая активность
Подключается к
- 'ap#.##launch.net':443
TCP
Другие
- 'ap#.##launch.net':443
UDP
- DNS ASK ap#.##launch.net
Другое
Создает и запускает на исполнение
- '%TEMP%\dxdiag_1700.exe'
Запускает на исполнение
- '<SYSTEM32>\reg.exe' add HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion /v _rs_test /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' delete HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion /v _rs_test /f
- '<SYSTEM32>\reg.exe' add HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run /v WinSvc /t REG_SZ /d <SYSTEM32>\winsvc.exe /f
- '<SYSTEM32>\schtasks.exe' /query /tn WinSvc /fo csv /v
- '<SYSTEM32>\schtasks.exe' /create /tn WinSvc /xml %TEMP%\winsvc.xml /f
