Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Windows' = '%APPDATA%\Windows\windows.exe'
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Windows' = '"%APPDATA%\Windows\windows.exe"'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\windows.lnk
- <SYSTEM32>\tasks\windows
Вредоносные функции
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\windowspowershell\v1.0\powershell.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %APPDATA%\mozilla\firefox\profiles.ini
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\windows\windows.exe
- %LOCALAPPDATA%\microsoft\windowsservices\svchost.dat
- %LOCALAPPDATA%\nvidia\shadercache\audiodg.exe
- %LOCALAPPDATA%\nvidia\shadercache\securityhealthsystray.exe
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\mgmji0al.5mm.xml
- %LOCALAPPDATA%\nvidia\shadercache\waasmedicsvc.exe
- %LOCALAPPDATA%\nvidia\shadercache\sihost.exe
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\__psscriptpolicytest_4wzzncs5.dtr.ps1
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\__psscriptpolicytest_n4w110lz.jik.psm1
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\__psscriptpolicytest_ukizkkq1.dzn.ps1
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\__psscriptpolicytest_l4prq2zu.lvc.psm1
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\adkfc0rw.13i.xml
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\__psscriptpolicytest_qdc3afzl.bsq.ps1
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\__psscriptpolicytest_jkxbibuv.sus.psm1
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_af68df11\login data
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_e5dad660\login data
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_97654379\history
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_97654379\history-journal
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_e87516d9\history
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_e87516d9\history-journal
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_bdbb6d04\history
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_3b252983\history
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\ffc_506b3240.db
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\ffc_b4d7da50.db
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\ffc_ce1cbec8.db
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\ffc_ce1cbec8.db-shm
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_07423039\web data
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_0b4cafc1\web data
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_2d177989\web data
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_090e7ad9\web data
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_04ae0ee2\web data
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_485d387c\web data
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\__psscriptpolicytest_kp5ffusw.on3.ps1
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\__psscriptpolicytest_1aa22cfd.kmy.psm1
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\nvidia\shadercache\audiodg.exe
- %LOCALAPPDATA%\microsoft\windowsservices\svchost.dat
- %LOCALAPPDATA%\nvidia\shadercache\securityhealthsystray.exe
- %LOCALAPPDATA%\nvidia\shadercache\waasmedicsvc.exe
- %LOCALAPPDATA%\nvidia\shadercache\sihost.exe
Удаляет файлы, которые сам же создал
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\mgmji0al.5mm.xml
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\__psscriptpolicytest_4wzzncs5.dtr.ps1
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\__psscriptpolicytest_n4w110lz.jik.psm1
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\__psscriptpolicytest_ukizkkq1.dzn.ps1
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\__psscriptpolicytest_l4prq2zu.lvc.psm1
- <SYSTEM32>\tasks\windows
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\adkfc0rw.13i.xml
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\__psscriptpolicytest_qdc3afzl.bsq.ps1
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\__psscriptpolicytest_jkxbibuv.sus.psm1
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_e5dad660\login data
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_af68df11\login data
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_e87516d9\history
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_e87516d9\history-journal
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_97654379\history
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_3b252983\history
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_bdbb6d04\history
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\ffc_506b3240.db
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\ffc_b4d7da50.db
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\ffc_ce1cbec8.db
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_0b4cafc1\web data
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_2d177989\web data
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_07423039\web data
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_04ae0ee2\web data
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_485d387c\web data
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\dbc_090e7ad9\web data
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\__psscriptpolicytest_kp5ffusw.on3.ps1
- %LOCALAPPDATA%\microsoft\windows\shellcomponents\__psscriptpolicytest_1aa22cfd.kmy.psm1
Сетевая активность
TCP
Другие
- '45.##1.215.96':7777
- 'ap#.#pify.org':443
UDP
- DNS ASK ap#.#pify.org
Другое
Создает и запускает на исполнение
- '%APPDATA%\windows\windows.exe'
- '%LOCALAPPDATA%\nvidia\shadercache\audiodg.exe'
- '%LOCALAPPDATA%\nvidia\shadercache\securityhealthsystray.exe'
- '%LOCALAPPDATA%\nvidia\shadercache\waasmedicsvc.exe'
- '%LOCALAPPDATA%\nvidia\shadercache\sihost.exe'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /Delete /TN "Windows" /F (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /XML "%LOCALAPPDATA%\Microsoft\Windows\ShellComponents\mgmji0al.5mm.xml" /TN "Windows" /F (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NonInteractive -NoProfile -EncodedCommand DQAKACQAbgBzACAAPQAgACcAUgBPAE8AVABcAHMAdQBiAHMAYwByAGkAcAB0AGkAbwBuACcAOwAgACQAbgAgAD0AIAAnAFcAaQBuAGQAbwB3AHMAJwANAAoAdAByAHkAIAB7ACAAZwB3AG0AaQAgAC...
- '<SYSTEM32>\schtasks.exe' /Query /TN "Windows" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NonInteractive -NoProfile -Command "(gwmi -Namespace ROOT\subscription -Class __EventFilter -Filter \"Name='Windows'\" -ErrorAction SilentlyContinue) -ne $null"
- '<SYSTEM32>\schtasks.exe' /Create /XML "%LOCALAPPDATA%\Microsoft\Windows\ShellComponents\adkfc0rw.13i.xml" /TN "Windows" /F (со скрытым окном)
- '<SYSTEM32>\wbem\wmiapsrv.exe'
- '<SYSTEM32>\netsh.exe' wlan show profiles
- '<SYSTEM32>\netsh.exe' wlan show networks
