Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Environment] 'UserInitMprLogonScript' = '%APPDATA%\Microsoft\Windows\PowerShell\powershell_core.exe'
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\.system
- %APPDATA%\microsoft\windows\powershell\powershell_core.exe
- %TEMP%\client.log
- %TEMP%\pyzstfg5\pyzstfg5.0.cs
- %TEMP%\pyzstfg5\pyzstfg5.cmdline
- %TEMP%\pyzstfg5\pyzstfg5.out
- %TEMP%\pyzstfg5\csccd70edb081c14deb9e918b77baf571e0.tmp
- %TEMP%\res13bd.tmp
- %TEMP%\pyzstfg5\pyzstfg5.dll
Удаляет файлы, которые сам же создал
- %TEMP%\res13bd.tmp
- %TEMP%\pyzstfg5\csccd70edb081c14deb9e918b77baf571e0.tmp
- %TEMP%\pyzstfg5\pyzstfg5.dll
- %TEMP%\pyzstfg5\pyzstfg5.0.cs
- %TEMP%\pyzstfg5\pyzstfg5.out
- %TEMP%\pyzstfg5\pyzstfg5.cmdline
Сетевая активность
Подключается к
- 'ko##ex.gd':443
- 'gi##.###hubusercontent.com':443
TCP
Другие
- 'ko##ex.gd':443
- 'gi##.###hubusercontent.com':443
UDP
- DNS ASK ko##ex.gd
- DNS ASK gi##.###hubusercontent.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\microsoft\windows\powershell\powershell_core.exe'
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command " $member = '[DllImport(\"user32.dll\")] public static extern bool ShowWindow(IntPtr hWnd, int nCmdShow);'; $type = Add-Type -MemberDefinition $member -Name \"Win32ShowWindow\" -Namesp... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "reg add "HKCU\Environment" /v "UserInitMprLogonScript" /t REG_SZ /d "%APPDATA%\Microsoft\Windows\PowerShell\powershell_core.exe" /f" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKCU\Environment" /v "UserInitMprLogonScript" /t REG_SZ /d "%APPDATA%\Microsoft\Windows\PowerShell\powershell_core.exe" /f
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\pyzstfg5\pyzstfg5.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES13BD.tmp" "%TEMP%\pyzstfg5\CSCCD70EDB081C14DEB9E918B77BAF571E0.TMP" (со скрытым окном)
- '%APPDATA%\microsoft\windows\powershell\powershell_core.exe' (со скрытым окном)
