Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, %HOMEPATH%\UpdateCenter.exe'
- [<HKLM>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, %HOMEPATH%\UpdateCenter.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '{UOTZEULT-5K6I-H7H6-7KLB-O8C3VID8IMNA}' = '"%APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeIso.exe"'
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- sys_win_asdasdl.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- <LS_APPDATA>\google\chrome\user data\default\cookies
- <LS_APPDATA>\google\chrome\user data\default\login data
- <LS_APPDATA>\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\sys_win_aushda.exe
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\enu_8808fe970a801a342535.7z
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.module.exe
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.module.exe.7
- %TEMP%\aut2.tmp
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\information.txt
- %HOMEPATH%\cookies\user@ipapi[1].txt
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\cookies\mozilla firefox (6).txt
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\telegram\d877f783d5d3ef8c1
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\telegram\инструкция по установке.txt
- %APPDATA%\eqtlozna.exe
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\telegram\d877f783d5d3ef8c\map0
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\steam\инструкция по установке.txt
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\steam\config\config.vdf
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\screen.jpg
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.sqlite3.module.dll
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.sqlite3.module.dll.7
- %TEMP%\aut1.tmp
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\enu_8808fe970a801a342535
- %HOMEPATH%\<Имя файла>.exe
- %TEMP%\sys_win_asdasdl.exe
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\steam\config\dialogconfig.vdf
- %TEMP%\tmp3.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\sys_win_aushda.exe
- %TEMP%\sys_win_asdasdl.exe
- %HOMEPATH%\<Имя файла>.exe
- %APPDATA%\eqtlozna.exe
Удаляет следующие файлы
- %TEMP%\aut1.tmp
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.sqlite3.module.dll.7
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.sqlite3.module.dll
- %TEMP%\aut2.tmp
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.module.exe.7
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.module.exe
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\information.txt
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\screen.jpg
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\telegram\d877f783d5d3ef8c1
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\telegram\инструкция по установке.txt
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\telegram\d877f783d5d3ef8c\map0
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\steam\инструкция по установке.txt
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\steam\config\config.vdf
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\steam\config\dialogconfig.vdf
- %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\cookies\mozilla firefox (6).txt
- %TEMP%\tmp3.tmp
Перемещает следующие файлы
- %HOMEPATH%\<Имя файла>.exe в %HOMEPATH%\updatecenter.exe
- %TEMP%\sys_win_aushda.exe в %APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://37.##0.210.84/still/Build.exe
- http://37.##0.210.84/still/SoranoMiner.exe
UDP
- DNS ASK ip###ger.org
- DNS ASK ap#.##legram.org
- DNS ASK ip##i.co
Другое
Создает и запускает на исполнение
- '%TEMP%\sys_win_aushda.exe'
- '%TEMP%\sys_win_asdasdl.exe'
- '%APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.exe'
- '%APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.module.exe' a -y -mx9 -ssw "%APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\ENU_8808FE970A801A342535.7z" "%APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\*"
- '%APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\edgeiso.module.exe' a -y -mx9 -ssw "%APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\ENU_8808FE970A801A342535.7z" "%APPDATA%\amd64_microsoft-windows-s..ck-mof-onecoreadmin\1\*"' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Create /TN "Updates\eqtLOznA" /XML "%TEMP%\tmp3.tmp"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /Create /TN "Updates\eqtLOznA" /XML "%TEMP%\tmp3.tmp"
