Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, <Полный путь к файлу>'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Компонент восстановления системы (SR)
- Средство контроля пользовательских учетных записей (UAC)
- Среду восстановления Windows (Windows Recovery Environment)
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath '<Текущая директория>' -ErrorAction SilentlyContinue; Add-MpPreference -ExclusionPath '%WINDIR%' -ErrorAction SilentlyCo...
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\winsvc\bguard.exe
- %APPDATA%\winsvc\berserk.exe
- %APPDATA%\winsvc\xor.log
Сетевая активность
Подключается к
- '10#.#65.155.43':29170
- '10#.#65.155.43':8081
- '93.##2.223.47':80
- '93.##2.223.245':29170
TCP
Запросы HTTP GET
Другие
- '10#.#65.155.43':8081
UDP
- DNS ASK st###m.local
Другое
Добавляет корневой сертификат
Изменяет значение AutoConfigURL на 'http://93.152.223.47/proxy.pac'
Ищет следующие окна
- ClassName: '' WindowName: 'Steam Support'
Создает и запускает на исполнение
- '%APPDATA%\winsvc\bguard.exe'
- '%APPDATA%\winsvc\berserk.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c powercfg -change -standby-timeout-ac 0 & powercfg -change -standby-timeout-dc 0 & powercfg -change -monitor-timeout-ac 0 & powercfg -change -monitor-timeout-dc 0 & powercfg -change -hibernat... (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' -change -standby-timeout-ac 0
- '<SYSTEM32>\powercfg.exe' -change -standby-timeout-dc 0
- '<SYSTEM32>\powercfg.exe' -change -monitor-timeout-ac 0
- '<SYSTEM32>\powercfg.exe' -change -monitor-timeout-dc 0
- '<SYSTEM32>\powercfg.exe' -change -hibernate-timeout-ac 0
- '<SYSTEM32>\powercfg.exe' -change -hibernate-timeout-dc 0
- '<SYSTEM32>\powercfg.exe' -h off
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -EncodedCommand WwBTAHkAcwB0AGUAbQAuAE4AZQB0AC4AVwBlAGIAUgBlAHEAdQBlAHMAdABdADoAOgBEAGUAZgBhAHUAbAB0AFcAZQBiAFAAcgBvAHgAeQAgAD0AIABOAGUAdwAtAE8AYgBqAGUAYwB0ACAAUw... (со скрытым окном)
- '<SYSTEM32>\reagentc.exe' /disable
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath '<Текущая директория>' -ErrorAction SilentlyContinue; Add-MpPreference -ExclusionPath '%WINDIR%' -ErrorAction SilentlyCo... (со скрытым окном)
