Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'AppInit_DLLs' = '%WINDIR%\xdwd.dll'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'LoadAppInit_DLLs' = '00000001'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,%ProgramFiles%\system32.exe'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'system32.exe' = '%ProgramFiles%\Sequrety.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\system sequrety.exe
- <SYSTEM32>\tasks\windows_process.exe
Изменения в файловой системе
Создает следующие файлы
- %ProgramFiles%\system32.exe
- %ProgramFiles%\sequrety.exe
- %WINDIR%\xdwd.dll
Присваивает атрибут 'скрытый' для следующих файлов
- %ProgramFiles%\system32.exe
- %ProgramFiles%\sequrety.exe
Сетевая активность
Подключается к
- 'localhost':40580
UDP
- DNS ASK ft######0580.portmap.host
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C SchTaSKs /CrEAte /F /sc OnLoGoN /rl HighEst /tn "System Sequrety.exe" /tr "%ProgramFiles%\system32.exe" & exit
- '<SYSTEM32>\schtasks.exe' /CrEAte /F /sc OnLoGoN /rl HighEst /tn "System Sequrety.exe" /tr "%ProgramFiles%\system32.exe"
- '<SYSTEM32>\cmd.exe' /c SchTaSKs /create /f /sc minute /mo -1 /tn "Windows_defender.exe" /tr "%ProgramFiles%\system32.exe" /RL HIGHEST & exit
- '<SYSTEM32>\schtasks.exe' /create /f /sc minute /mo -1 /tn "Windows_defender.exe" /tr "%ProgramFiles%\system32.exe" /RL HIGHEST
- '<SYSTEM32>\cmd.exe' /c SchTaSKs /create /f /sc minute /mo 5 /tn "Windows_process.exe" /tr "%ProgramFiles%\Sequrety.exe" /RL HIGHEST & exit
- '<SYSTEM32>\schtasks.exe' /create /f /sc minute /mo 5 /tn "Windows_process.exe" /tr "%ProgramFiles%\Sequrety.exe" /RL HIGHEST
