Техническая информация
Вредоносные функции:
Создает и запускает на исполнение:
- '%TEMP%\nsg3.tmp\KMSServer.exe' 1688 RandomKMSPID 43200 43200
Запускает на исполнение:
- '<SYSTEM32>\wbem\wmic.exe' path SoftwareLicensingProduct where (Description like '%KMSCLIENT%') get Name /format:list
- '<SYSTEM32>\findstr.exe' /i Office
- '<SYSTEM32>\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SoftwareProtectionPlatform"\55c92734-d682-4d71-983e-d6ec3f16059f /f
- '<SYSTEM32>\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SoftwareProtectionPlatform"\0ff1ce15-a989-479d-af46-f275c6370663 /f
- '<SYSTEM32>\findstr.exe' /i Windows
- '<SYSTEM32>\wbem\wmic.exe' path OfficeSoftwareProtectionService get version /format:list
- '<SYSTEM32>\taskkill.exe' /f /IM KMSServer.exe
- '<SYSTEM32>\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\OfficeSoftwareProtectionPlatform"\59a52881-a989-479d-af46-f275c6370663 /f
- '<SYSTEM32>\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\OfficeSoftwareProtectionPlatform"\0ff1ce15-a989-479d-af46-f275c6370663 /f
- '<SYSTEM32>\findstr.exe' :1688
- '<SYSTEM32>\wbem\wmic.exe' Path Win32_LocalTime get Year,Month,Day,Hour,Minute,Second /Format:List
- '<SYSTEM32>\netsh.exe' advfirewall firewall set rule @FirewallAPI.dll,-28003 new enable=yes
- '<SYSTEM32>\cmd.exe' /C cmd /c "%TEMP%\nsg3.tmp\KMS_VL_ALL.cmd">"%TEMP%\KMS.log"
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\nsg3.tmp\KMS_VL_ALL.cmd"
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Microsoft ╚э╝■▒г╗д╞╜╠и╖■╬ё" dir=in program="%TEMP%\nsg3.tmp\KMSServer.exe" action=allow
- '<SYSTEM32>\cscript.exe' //nologo "%TEMP%\149541442ip.vbs"
- '<SYSTEM32>\netstat.exe' -ano
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Microsoft ╚э╝■▒г╗д╞╜╠и╖■╬ё" dir=out program="%TEMP%\nsg3.tmp\KMSServer.exe" action=allow
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Microsoft ╚э╝■▒г╗д╞╜╠и╖■╬ё" protocol=any dir=out remoteip=65.52.98.231,65.52.98.232,65.52.98.233 action=block
Скрывает следующие процессы:
- <Полный путь к вирусу>
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\tmp6.tmp
- <SYSTEM32>\wbem\AutoRecover\C8463ECBE33BC240263A0B094E46D510.mof
- %TEMP%\tmp5.tmp
- <SYSTEM32>\wbem\AutoRecover\23BDE61F1F4FACE17E9B0C01F2A1FD9B.mof
- <SYSTEM32>\wbem\Logs\WMIC.LOG
- %TEMP%\149541442ip.vbs
- %TEMP%\KMS.log
- %TEMP%\tmp4.tmp
- %TEMP%\nsg3.tmp\KMS_VL_ALL.cmd
- %TEMP%\nsg3.tmp\System.dll
- %TEMP%\nsq2.tmp
- %TEMP%\nsg3.tmp\KMSServer.exe
- %TEMP%\nsg3.tmp\ExecCmd.dll
- %TEMP%\nsg3.tmp\x86\SppExtComObjHook.dll
- %TEMP%\nsg3.tmp\SECOInjector.exe
Удаляет следующие файлы:
- %TEMP%\nsg3.tmp\KMS_VL_ALL.cmd
- %TEMP%\nsg3.tmp\KMSServer.exe
- %TEMP%\nsg3.tmp\x86\SppExtComObjHook.dll
- %TEMP%\nsg3.tmp\System.dll
- %TEMP%\nsg3.tmp\ExecCmd.dll
- %TEMP%\tmp5.tmp
- %TEMP%\tmp4.tmp
- %TEMP%\tmp6.tmp
- %TEMP%\nsg3.tmp\SECOInjector.exe
- %TEMP%\149541442ip.vbs
Другое:
Ищет следующие окна:
- ClassName: '(null)' WindowName: '(null)'
