Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'SystemUpdate' = '"%APPDATA%\PerfLogs\RuntimeBroker.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'SystemUpdate' = '"%APPDATA%\PerfLogs\RuntimeBroker.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'DriverUpdateCheck' = 'wscript.exe //B "%TEMP%\DriverUpdateCheck.vbs"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\nvdriverupdatecheck
- <SYSTEM32>\tasks\onedrive standalone update taskservicelogon
- <SYSTEM32>\tasks\onedrive standalone update taskservice
Вредоносные функции
Патчит код
в динамической библиотеке NTDLL
- Процесс xbckhtk.exe, модуль ntdll.dll
- Процесс runtimebroker.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\perflogs\runtimebroker.exe
- %TEMP%\driverupdatecheck.vbs
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\perflogs\runtimebroker.exe
Удаляет файлы, которые сам же создал
- <SYSTEM32>\tasks\nvdriverupdatecheck
Сетевая активность
Подключается к
- '18#.#99.197.147':8072
- 'ip##pi.com':80
TCP
Запросы HTTP GET
- http://ip##pi.com/json/
UDP
- DNS ASK ip##pi.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\perflogs\runtimebroker.exe'
- '<SYSTEM32>\wscript.exe' //B "%TEMP%\DriverUpdateCheck.vbs"
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /Delete /TN "NvDriverUpdateCheck" /F (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /SC ONLOGON /TN "NvDriverUpdateCheck" /TR "\"%APPDATA%\PerfLogs\RuntimeBroker.exe\"" /RL HIGHEST /F (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Delete /TN "OneDrive Standalone Update TaskServiceLogon" /F (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /TN "OneDrive Standalone Update TaskServiceLogon" /TR "\"%APPDATA%\PerfLogs\RuntimeBroker.exe\"" /SC ONLOGON /RL HIGHEST /F (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Run /TN "OneDrive Standalone Update TaskServiceLogon" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Delete /TN "OneDrive Standalone Update TaskService" /F (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /TN "OneDrive Standalone Update TaskService" /TR "\"%APPDATA%\PerfLogs\RuntimeBroker.exe\"" /SC MINUTE /MO 1 /RL HIGHEST /F (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Run /TN "OneDrive Standalone Update TaskService" (со скрытым окном)
- '%APPDATA%\perflogs\runtimebroker.exe' (со скрытым окном)
- '<SYSTEM32>\wscript.exe' //B "%TEMP%\DriverUpdateCheck.vbs" (со скрытым окном)
