Техническая информация
Для обеспечения автозапуска и распространения:
Модифицирует следующие ключи реестра:
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'wextract_cleanup0' = 'rundll32.exe <SYSTEM32>\advpack.dll,DelNodeRunDLL32 "%TEMP%\IXP000.TMP\"'
Вредоносные функции:
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
большое количество пользовательских процессов.
Завершает или пытается завершить
большое количество пользовательских процессов.
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FileMonClass', WindowName: ''
- ClassName: 'RegMonClass', WindowName: ''
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
Изменения в файловой системе:
Создает следующие файлы:
- %TEMP%\aut1.tmp
- <Текущая директория>\EchoesOfSorrow.exe
- %TEMP%\aut2.tmp
- %TEMP%\Bonjour.exe
- %TEMP%\IXP000.TMP\PMLSacHCeAQhMLNdBHGXH.cmd
- %TEMP%\IXP000.TMP\bCSgibNDdfIQMXUdaFV
- %TEMP%\IXP000.TMP\RTTDRhcYGPFb
- %APPDATA%\PMLSacHCeAQhMLNdBHGXH.cmd
- %APPDATA%\bCSgibNDdfIQMXUdaFV
- %APPDATA%\RTTDRhcYGPFb
- %ProgramFiles%\Client\client.exe
- %ProgramFiles%\Client\client.exe.config
- %TEMP%\WER1a79.dir00\ctfmon.exe.mdmp
- %TEMP%\WER1a79.dir00\ctfmon.exe.hdmp
- %TEMP%\WER1a79.dir00\appcompat.txt
- %TEMP%\WER1a79.dir00\manifest.txt
Присваивает атрибут 'скрытый' для следующих файлов:
- %APPDATA%\PMLSacHCeAQhMLNdBHGXH.cmd
- %APPDATA%\bCSgibNDdfIQMXUdaFV
- %APPDATA%\RTTDRhcYGPFb
Удаляет следующие файлы:
- %TEMP%\aut1.tmp
- %TEMP%\aut2.tmp
- %TEMP%\IXP000.TMP\RTTDRhcYGPFb
- %TEMP%\IXP000.TMP\bCSgibNDdfIQMXUdaFV
- %TEMP%\IXP000.TMP\PMLSacHCeAQhMLNdBHGXH.cmd
Сетевая активность:
Подключается к:
- 'mi#######-svchost.publicvm.com':88
UDP:
- DNS ASK mi#######-svchost.publicvm.com
Другое:
Создает и запускает на исполнение:
- '<Текущая директория>\EchoesOfSorrow.exe'
- '%TEMP%\Bonjour.exe'
- '%TEMP%\IXP000.TMP\PMLSacHCeAQhMLNdBHGXH.cmd' bCSgibNDdfIQMXUdaFV
Запускает на исполнение:
- '%WINDIR%\Microsoft.NET\Framework\v2.0.50727\RegAsm.exe' CmdLine Args
- '<SYSTEM32>\schtasks.exe' /create /sc onlogon /tn "Client Monitor" /rl highest /tr "'%ProgramFiles%\Client\client.exe' /startup" /f
- '<SYSTEM32>\dumprep.exe' 1660 -dm 7 7 %TEMP%\WER1a79.dir00\ctfmon.exe.mdmp 16325836412027256
- '<SYSTEM32>\dumprep.exe' 1660 -dm 7 7 %TEMP%\WER1a79.dir00\ctfmon.exe.hdmp 16325836412027276
- '<SYSTEM32>\rundll32.exe' <SYSTEM32>\sysdm.cpl,NoExecuteProcessException <SYSTEM32>\ctfmon.exe
