Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Realtek HD Audio Universal Service' = '%APPDATA%\Microsoft\Protect\SecurityHealthSystray.exe'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath <Полный путь к файлу>
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIntrusionPreventionSystem $true -DisableIOAVProtection $true -DisableRealtimeMonitoring $true -DisableScriptScanning $true -EnableControlledFolderAccess Disabled -Enabl...
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\microsoft\protect\securityhealthsystray.exe
- nul
- %TEMP%\browsers-temp\all_cookies.txt
Присваивает атрибут 'скрытый' для следующих файлов
- <Полный путь к файлу>
- %APPDATA%\microsoft\protect\securityhealthsystray.exe
Удаляет файлы, которые сам же создал
- %TEMP%\browsers-temp\all_cookies.txt
Сетевая активность
Подключается к
- 'di##ord.com':443
- 'di###rdapp.com':443
TCP
Другие
- 'di##ord.com':443
- 'di###rdapp.com':443
UDP
- DNS ASK di##ord.com
- DNS ASK di###rdapp.com
Другое
Запускает на исполнение
- '<SYSTEM32>\attrib.exe' +h +s <Полный путь к файлу> (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' cpu get Name (со скрытым окном)
- '<SYSTEM32>\attrib.exe' +h +s %APPDATA%\Microsoft\Protect\SecurityHealthSystray.exe
- '<SYSTEM32>\wbem\wmic.exe' os get Caption (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath <Полный путь к файлу> (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIntrusionPreventionSystem $true -DisableIOAVProtection $true -DisableRealtimeMonitoring $true -DisableScriptScanning $true -EnableControlledFolderAccess Disabled -Enabl... (со скрытым окном)
