Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, %HOMEPATH%\UpdateCenter.exe'
- [<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, %HOMEPATH%\UpdateCenter.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\u-9-2-36-1069085321-1037920862-1248854001-7832\{uotzeult-5k6i-h7h6-7klb-o8c3vid8imna}
- <SYSTEM32>\tasks\updates\eqtlozna
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- sys_win_asdasdl.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- <LS_APPDATA>\google\chrome\user data\default\cookies
- <LS_APPDATA>\google\chrome\user data\default\login data
- <LS_APPDATA>\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\sys_win_aushda.exe
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\steam\config\config.vdf
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\steam\инструкция по установке.txt
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\steam\config\dialogconfig.vdf
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\telegram\d877f783d5d3ef8c\map0
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\telegram\инструкция по установке.txt
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\telegram\d877f783d5d3ef8c1
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\information.txt
- %TEMP%\windows folder\wininit.exe
- %TEMP%\aut3a0c.tmp
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.module.exe.7
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.module.exe
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\enu_686887fe979da63d2535.7z
- %APPDATA%\eqtlozna.exe
- %TEMP%\tmpa502.tmp
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\screen.jpg
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\cookies\mozilla firefox (7).txt
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.sqlite3.module.dll
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
- %TEMP%\sys_win_asdasdl.exe
- %HOMEPATH%\<Имя файла>.exe
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\enu_686887fe979da63d2535
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- %TEMP%\aute467.tmp
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\nrm2dy22\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\t03gtc35\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\y9ixfin7\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\c4gpd836\desktop.ini
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\index.dat
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.sqlite3.module.dll.7
- %TEMP%\windows folder\nvrtc64_100_0.dll
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\sys_win_aushda.exe
- %TEMP%\sys_win_asdasdl.exe
- %HOMEPATH%\<Имя файла>.exe
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\nrm2dy22\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\t03gtc35\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\y9ixfin7\desktop.ini
- <LS_APPDATA>\microsoft\windows\<INETFILES>\low\content.ie5\c4gpd836\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\history.ie5\desktop.ini
- <LS_APPDATA>\microsoft\windows\history\low\desktop.ini
- %APPDATA%\eqtlozna.exe
- %TEMP%\windows folder\wininit.exe
Удаляет следующие файлы
- %TEMP%\aute467.tmp
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\enu_686887fe979da63d2535.7z
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\telegram\d877f783d5d3ef8c\map0
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\telegram\инструкция по установке.txt
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\telegram\d877f783d5d3ef8c1
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\steam\config\dialogconfig.vdf
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\steam\config\config.vdf
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\steam\инструкция по установке.txt
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\cookies\mozilla firefox (7).txt
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\screen.jpg
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\information.txt
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.module.exe
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.module.exe.7
- %TEMP%\aut3a0c.tmp
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.sqlite3.module.dll
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.sqlite3.module.dll.7
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\enu_686887fe979da63d2535
- %TEMP%\tmpa502.tmp
Перемещает следующие файлы
- %HOMEPATH%\<Имя файла>.exe в %HOMEPATH%\updatecenter.exe
- %TEMP%\sys_win_aushda.exe в %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://37.##0.210.84/still/Build.exe
- http://37.##0.210.84/still/SoranoMiner.exe
- http://cr#.#odaddy.com/gdig2s1-827.crl
- http://ho##ge.ru/nvrtc64_100_0.dll
UDP
- DNS ASK ip###ger.org
- DNS ASK ap#.##legram.org
- DNS ASK ip##i.co
- DNS ASK cr#.#odaddy.com
- DNS ASK ho##ge.ru
Другое
Создает и запускает на исполнение
- '%TEMP%\sys_win_aushda.exe'
- '%TEMP%\sys_win_asdasdl.exe'
- '%APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.exe'
- '%APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.module.exe' a -y -mx9 -ssw "%APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\ENU_686887FE979DA63D2535.7z" "%APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\*"
- '%APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.module.exe' a -y -mx9 -ssw "%APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\ENU_686887FE979DA63D2535.7z" "%APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\*"' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /TN "Updates\eqtLOznA" /XML "%TEMP%\tmpA502.tmp"' (со скрытым окном)
- '%APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\rundll32.exe' "<SYSTEM32>\WININET.dll",DispatchAPICall 1
- '<SYSTEM32>\schtasks.exe' /Create /TN "Updates\eqtLOznA" /XML "%TEMP%\tmpA502.tmp"
- '<SYSTEM32>\taskeng.exe' {44D1F2E2-2814-4097-A197-A0599100FE4B} S-1-5-21-2922372159-162323534-3872807762-1001:mcvzmy\user:Interactive:[1]
