Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\WdFilter] 'ImagePath' = '<DRIVERS>\WdFilter.sys'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\lock
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\spf\unknown.log
- %TEMP%\2iy3x2za.bat
- %TEMP%\0185deee-a654-40ee-8372-1ef522c9fdec.bat
- C:\lock
- D:\lock
- %APPDATA%\spf\diskid
- %APPDATA%\spf\boardid
- %APPDATA%\spf\uuid
- %APPDATA%\spf\hwidinfo002
- %APPDATA%\spf\avatart.png
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\0185deee-a654-40ee-8372-1ef522c9fdec.bat
- %TEMP%\2iy3x2za.bat
Сетевая активность
Подключается к
- 'un#####apps.ipv64.net':80
- 'ip##.#canhazip.com':443
TCP
Запросы HTTP GET
- http://un#####apps.ipv64.net/hwid/?sn########################################################################################################
Другие
- 'ip##.#canhazip.com':443
UDP
- DNS ASK un#####apps.ipv64.net
- DNS ASK ip##.#canhazip.com
Другое
Создает и запускает на исполнение
- '%TEMP%\2iy3x2za.bat' ok
Запускает на исполнение
- '<SYSTEM32>\sc.exe' config wdfilter start=disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WerSvc start=disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WinDefend start=disabled (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc stop wdfilter (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc stop WerSvc (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WdNisSvc start=disabled (со скрытым окном)
- '<SYSTEM32>\sc.exe' config XblGameSave start=disabled (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc stop WinDefend (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\0185deee-a654-40ee-8372-1ef522c9fdec.bat" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc stop WdNisSvc (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc stop XblGameSave (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop wdfilter
- '<SYSTEM32>\sc.exe' stop WerSvc
- '<SYSTEM32>\sc.exe' stop WinDefend
- '<SYSTEM32>\attrib.exe' -r -s -h "<Полный путь к файлу>"
- '<SYSTEM32>\sc.exe' stop WdNisSvc
- '<SYSTEM32>\sc.exe' stop XblGameSave
- '<SYSTEM32>\reg.exe' ADD "HKLM\SOFTWARE\Policies\Microsoft\Windows\System" /v "HiberbootEnabled" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\timeout.exe' /T 1
- '<SYSTEM32>\attrib.exe' -r -s -h "%TEMP%\0185deee-a654-40ee-8372-1ef522c9fdec.bat"
- '<SYSTEM32>\ping.exe' unknownapps.ipv64.net -n 1
