Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SYSTEM\CurrentControlSet\Control\Session Manager] 'BootExecute' = ''
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /im iexplore.exe /f
- '%WINDIR%\syswow64\taskkill.exe' /im msedge.exe /f
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsuodo.dll
- <Текущая директория>\gp.inf
- %WINDIR%\security\logs\scesrv.log
- <Текущая директория>\gp.jfm
- <Текущая директория>\gp.sdb
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab487e2-b50.pma
- %LOCALAPPDATA%\microsoft\edge\user data\browsermetrics\browsermetrics-6ab487f1-990.pma
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\nsuodo.dll
- <Текущая директория>\gp.inf
Удаляет следующие системные файлы
- %WINDIR%\panther\unattend.xml
Удаляет файлы, которые сам же создал
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\6z5ae6bt\v1[1].xml
- <Текущая директория>\gp.inf
Перемещает следующие системные файлы
- %WINDIR%\security\database\edb.log в %WINDIR%\security\database\edb00001.log
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\edge\user data\last version
- %LOCALAPPDATA%\microsoft\edge\user data\default\sync data\leveldb\log
- %LOCALAPPDATA%\microsoft\edge\user data\default\sync data\leveldb\000003.log
- %LOCALAPPDATA%\microsoft\edge\user data\default\site characteristics database\log
- %LOCALAPPDATA%\microsoft\tokenbroker\cache\9cd93bc6dcf544bae69531052e64647ec02f2bb4.tbres
Подменяет следующие файлы
- %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Platform Notifications\LOG
- %LOCALAPPDATA%\Microsoft\Edge\User Data\Default\Local Storage\leveldb\LOG
Сетевая активность
Подключается к
- 'co####.edge.skype.com':443
TCP
Другие
- 'co####.edge.skype.com':443
UDP
- DNS ASK co####.edge.skype.com
Другое
Ищет следующие окна
- ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Microsoft\Edge\User Data'
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Запускает на исполнение
- '%ProgramFiles%\internet explorer\iexplore.exe' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c bcdedit /set testsigning off (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' /set testsigning off
- '<SYSTEM32>\cmd.exe' /c bcdedit /set nointegritychecks on (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' /set nointegritychecks on
- '<SYSTEM32>\cmd.exe' /c bcdedit /set hypervisorlaunchtype off (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' /set hypervisorlaunchtype off
- '%WINDIR%\syswow64\cmd.exe' /c secedit /configure /db gp.sdb /cfg gp.inf (со скрытым окном)
- '%ProgramFiles(x86)%\microsoft\edge\application\89.0.774.68\bho\ie_to_edge_stub.exe' --from-ie-to-edge=3 --ie-frame-hwnd=80046
- '%WINDIR%\syswow64\secedit.exe' /configure /db gp.sdb /cfg gp.inf
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --from-ie-to-edge=3 --ie-frame-hwnd=80046
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --from-ie-to-edge=3 --ie-frame-hwnd=80046 --flag-switches-begin --flag-switches-end --do-not-de-elevate (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c net accounts /maxpwage:UNLIMITED (со скрытым окном)
- '%WINDIR%\syswow64\net.exe' accounts /maxpwage:UNLIMITED
- '%WINDIR%\syswow64\net1.exe' accounts /maxpwage:UNLIMITED
- '%WINDIR%\syswow64\cmd.exe' /c del /f /s /q gp.* (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c powercfg /list (со скрытым окном)
- '%WINDIR%\syswow64\powercfg.exe' /list
- '%WINDIR%\syswow64\cmd.exe' /c powercfg /DUPLICATESCHEME e9a42b02-d5df-448d-aa00-03f14749eb61 (со скрытым окном)
- '%WINDIR%\syswow64\powercfg.exe' /DUPLICATESCHEME e9a42b02-d5df-448d-aa00-03f14749eb61
- '<SYSTEM32>\cmd.exe' /c powercfg -h off (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' -h off
- '<SYSTEM32>\cmd.exe' /c powercfg /change /standby-timeout-ac 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change /standby-timeout-ac 0
- '<SYSTEM32>\cmd.exe' /c powercfg /change /standby-timeout-dc 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change /standby-timeout-dc 0
- '<SYSTEM32>\cmd.exe' /c powercfg /change /monitor-timeout-ac 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change /monitor-timeout-ac 0
- '<SYSTEM32>\cmd.exe' /c powercfg /change /monitor-timeout-dc 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change /monitor-timeout-dc 0
- '<SYSTEM32>\cmd.exe' /c powercfg /change /disk-timeout-ac 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change /disk-timeout-ac 0
- '<SYSTEM32>\cmd.exe' /c powercfg /change /disk-timeout-dc 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change /disk-timeout-dc 0
- '<SYSTEM32>\cmd.exe' /c powercfg /change /hibernate-timeout-ac 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change /hibernate-timeout-ac 0
- '<SYSTEM32>\cmd.exe' /c powercfg /change /hibernate-timeout-dc 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /change /hibernate-timeout-dc 0
- '<SYSTEM32>\cmd.exe' /c powercfg /SETACVALUEINDEX SCHEME_CURRENT 2a737441-1930-4402-8d77-b2bebba308a3 48e6b7a6-50f5-4782-a5d4-53bb8f07e226 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /SETACVALUEINDEX SCHEME_CURRENT 2a737441-1930-4402-8d77-b2bebba308a3 48e6b7a6-50f5-4782-a5d4-53bb8f07e226 0
- '<SYSTEM32>\cmd.exe' /c powercfg /SETDCVALUEINDEX SCHEME_CURRENT 2a737441-1930-4402-8d77-b2bebba308a3 48e6b7a6-50f5-4782-a5d4-53bb8f07e226 0 (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /SETDCVALUEINDEX SCHEME_CURRENT 2a737441-1930-4402-8d77-b2bebba308a3 48e6b7a6-50f5-4782-a5d4-53bb8f07e226 0
- '<SYSTEM32>\cmd.exe' /c bcdedit /set {current} bootstatuspolicy ignoreallfailures (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' /set {current} bootstatuspolicy ignoreallfailures
- '<SYSTEM32>\cmd.exe' /c bcdedit /set useplatformclock no (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' /set useplatformclock no
- '<SYSTEM32>\cmd.exe' /c bcdedit /set useplatformtick no (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' /set useplatformtick no
- '<SYSTEM32>\cmd.exe' /c bcdedit /set disabledynamictick yes (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' /set disabledynamictick yes
- '<SYSTEM32>\cmd.exe' /c netsh interface teredo set state disable (со скрытым окном)
- '<SYSTEM32>\netsh.exe' interface teredo set state disable
- '<SYSTEM32>\cmd.exe' /c netsh interface 6to4 set state disabled (со скрытым окном)
- '<SYSTEM32>\netsh.exe' interface 6to4 set state disabled
- '<SYSTEM32>\cmd.exe' /c netsh interface isatap set state disabled (со скрытым окном)
- '<SYSTEM32>\netsh.exe' interface isatap set state disabled
- '<SYSTEM32>\cmd.exe' /c netsh int tcp set global ecn=disable (со скрытым окном)
- '<SYSTEM32>\netsh.exe' int tcp set global ecn=disable
- '<SYSTEM32>\cmd.exe' /cnetcfg.exe -u ms_pacer (со скрытым окном)
- '<SYSTEM32>\netcfg.exe' -u ms_pacer
- '%WINDIR%\syswow64\rundll32.exe' iesetup.dll,IEHardenUser (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' iesetup.dll,IEHardenAdmin (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' iesetup.dll,IEHardenMachineNow (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo >> <DRIVERS>\etc\hosts
- '%WINDIR%\syswow64\cmd.exe' /c echo 127.0.0.1 ieonline.microsoft.com >> <DRIVERS>\etc\hosts
- '%WINDIR%\syswow64\cmd.exe' /c del /f /s /q C:\PerfLogs\*.* (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del /f /s /q C:\recycled\*.* (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del /f /s /q %WINDIR%\Temp\*.* (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del /f /s /q %WINDIR%\Tasks\Real*.job (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del /f /s /q %WINDIR%\Prefetch\*.* (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del /f /s /q %WINDIR%\Prefetch\ReadyBoot\*.* (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del /f /s /q <SYSTEM32>\WDI\LogFiles\*.* (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c del /f /s /q %WINDIR%\Logs\dosvc\*.* (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /im iexplore.exe /f (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /im msedge.exe /f (со скрытым окном)
