Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -Command "Set-MpPreference -ScanScheduleDay 8 -DisableCatchupFullScan $true -DisableCatchupQuickScan $true -MAPSReporting Disabled -SubmitSamplesConsent NeverSend -Di...
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -Command "Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\kernel'"
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /IM svc.exe
- '%WINDIR%\syswow64\taskkill.exe' /F /IM srwsvc.exe
Изменения в файловой системе
Создает следующие файлы
- nul
- %ALLUSERSPROFILE%\kernel\svc.exe
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Scan" /f /v ScheduleDay /t REG_DWORD /d 8
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Scan" /f /v DisableCatchupFullScan /t REG_DWORD /d 1
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Scan" /f /v DisableCatchupQuickScan /t REG_DWORD /d 1
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Spynet" /f /v SpyNetReporting /t REG_DWORD /d 0
- '%WINDIR%\syswow64\sc.exe' stop kernels
- '%WINDIR%\syswow64\sc.exe' delete kernels
- '%WINDIR%\syswow64\tasklist.exe' /FI "IMAGENAME eq srwsvc.exe" /NH
- '%WINDIR%\syswow64\icacls.exe' %ALLUSERSPROFILE%\kernel\svc.exe /grant Everyone:F
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /f /v LocalAccountTokenFilterPolicy /t REG_DWORD /d 1
