Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '"%LOCALAPPDATA%\FoxShellLock\FoxShellLock.exe"'
- [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'Load' = '%LOCALAPPDATA%\FoxShellLock\FoxShellLock.exe'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'FoxShellLock' = '"%LOCALAPPDATA%\FoxShellLock\FoxShellLock.exe"'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
изменяет следующие системные настройки:
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoLogoff' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoClose' = '00000001'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer] 'NoRun' = '00000001'
Изменения в файловой системе
Создает следующие файлы
- nul
- %LOCALAPPDATA%\foxshelllock\foxshelllock.exe
- %HOMEPATH%\desktop\fix_shell.bat
- %TEMP%\foxshelllockmedia\1.mp4
- %TEMP%\foxshelllockmedia\2.mp4
- %TEMP%\foxshelllockmedia\0.exe
- %LOCALAPPDATA%\packages\microsoft.zunevideo_8wekyb3d8bbwe\ac\microsoft\cryptneturlcache\metadata\77ec63bda74bd0d0e0426dc8f8008506
- %LOCALAPPDATA%\packages\microsoft.zunevideo_8wekyb3d8bbwe\ac\microsoft\cryptneturlcache\metadata\57c8edb95df3f0ad4ee2dc2b8cfd4157
- %LOCALAPPDATA%\packages\microsoft.zunevideo_8wekyb3d8bbwe\ac\microsoft\cryptneturlcache\metadata\fb0d848f74f70bb2eaa93746d24d9749
Сетевая активность
Подключается к
- 'se######-ssl.xboxlive.com':443
- 'go.microsoft.com':443
- 'oneocsp.microsoft.com':80
- 'activation.playready.microsoft.com':443
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?1c##############
- http://oneocsp.microsoft.com/ocsp/MFQwUjBQME4wTDAJBgUrDgMCGgUABBQ0cRqryDGkRvVXcTaHxxbAiqOB6AQUuC8zpnxRT38fLdXIFUI4pLIOjy8CE0EA14cbL%2BZ%2F9pzxFa8AAADXhxs%3D
Другие
- 'se######-ssl.xboxlive.com':443
- 'go.microsoft.com':443
- 'activation.playready.microsoft.com':443
UDP
- DNS ASK se######-ssl.xboxlive.com
- DNS ASK go.microsoft.com
- DNS ASK oneocsp.microsoft.com
- DNS ASK activation.playready.microsoft.com
Другое
Ищет следующие окна
- ClassName: 'NarratorUIClass' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c net user "user" "" >nul 2>nul (со скрытым окном)
- '<SYSTEM32>\net.exe' user "user" ""
- '<SYSTEM32>\net1.exe' user "user" ""
- '%ProgramFiles%\windowsapps\microsoft.zunevideo_10.19071.19011.0_x64__8wekyb3d8bbwe\video.ui.exe' -ServerName:Microsoft.ZuneVideo.AppX758ya5sqdjd98rx6z7g95nw6jy7bqx9y.mca
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
- '<SYSTEM32>\svchost.exe' -k LocalSystemNetworkRestricted -p -s DisplayEnhancementService
