Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'SupportAgent' = '<Полный путь к файлу>'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'SupportAgent' = '<Полный путь к файлу>'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\supportagent
- <SYSTEM32>\tasks\supportagentboot
- %APPDATA%\microsoft\windows\start menu\programs\startup\supportagent.lnk
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\SupportAgent] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\SupportAgent] 'ImagePath' = '<Полный путь к файлу>'
Создает следующие сервисы
- 'SupportAgent' <Полный путь к файлу>
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "$ErrorActionPreference='SilentlyContinue';Add-MpPreference -ExclusionPath '<Полный путь к файлу>';Add-MpPreference -ExclusionPath '<Текущая директория>';Add-MpPref...
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\supportagent\logs\agent.log
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\supportagent.lnk
Сетевая активность
Подключается к
- '31.##.184.145':8000
Другое
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "$a = New-ScheduledTaskAction -Execute '<Полный путь к файлу>';$t = New-ScheduledTaskTrigger -AtLogOn -User 'user';$s = New-ScheduledTaskSettingsSet -Hidden -AllowS... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "$a = New-ScheduledTaskAction -Execute '<Полный путь к файлу>';$t = New-ScheduledTaskTrigger -AtStartup;$s = New-ScheduledTaskSettingsSet -Hidden -AllowStartIfOnBat... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "$ws = New-Object -ComObject WScript.Shell;$s = $ws.CreateShortcut('%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\SupportAgent.lnk');$s.TargetPath = '<Пол... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "$ws = New-Object -ComObject WScript.Shell;$s = $ws.CreateShortcut('%ALLUSERSPROFILE%\Microsoft\Windows\Start Menu\Programs\Startup\SupportAgent.lnk');$s.TargetPath... (со скрытым окном)
- '<SYSTEM32>\sc.exe' create SupportAgent binPath= "<Полный путь к файлу>" start= auto DisplayName= "Support Agent" (со скрытым окном)
- '<SYSTEM32>\sc.exe' description SupportAgent "Support Agent remote management service" (со скрытым окном)
- '<SYSTEM32>\sc.exe' failure SupportAgent reset= 60 actions= restart/5000/restart/10000/restart/30000 (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "$ErrorActionPreference='SilentlyContinue';Add-MpPreference -ExclusionPath '<Полный путь к файлу>';Add-MpPreference -ExclusionPath '<Текущая директория>';Add-MpPref... (со скрытым окном)
