Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\googleupdatetaskmachineu
- <SYSTEM32>\tasks\googleupdatetaskmachinea
- <SYSTEM32>\tasks\googleupdatetaskmachinessu
- <SYSTEM32>\tasks\googleupdatetaskmachinesta
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\dllhost.exe
- %TEMP%\dllhost_.exe
- %TEMP%\ntuser1.dll
- %TEMP%\ntuser22_.dll
- %TEMP%\ntuser22.d
- %TEMP%\ntuser32.d
- %TEMP%\ntuser33.d
- %TEMP%\certmgr.exe
- %TEMP%\microsoft.cer
- %TEMP%\tmpd.bat
- %TEMP%\1.xml
- %TEMP%\2.xml
- %APPDATA%\key\09-30-2019
- %APPDATA%\remcos\logs.dat
Удаляет следующие файлы
- %TEMP%\certmgr.exe
- %TEMP%\microsoft.cer
- %TEMP%\1.xml
- %TEMP%\2.xml
Перемещает следующие файлы
- %TEMP%\dllhost.exe в C:\users\public\dllhost.exe
- %TEMP%\dllhost_.exe в C:\users\public\dllhost_.exe
- %TEMP%\ntuser1.dll в C:\users\public\ntuser1.dll
- %TEMP%\ntuser22.d в C:\users\public\ntuser22.d
- %TEMP%\ntuser22_.dll в C:\users\public\ntuser22_.dll
- %TEMP%\ntuser32.d в C:\users\public\ntuser32.d
- %TEMP%\ntuser33.d в C:\users\public\ntuser33.d
Подменяет следующие файлы
- %TEMP%\1.xml
- %TEMP%\2.xml
Сетевая активность
Подключается к
- 'localhost':53
- 'or#.##thewifi.com':6969
- 'up#####svc.duckdns.org':53
TCP
Запросы HTTP GET
- http://ip##pi.com/json/
UDP
- DNS ASK or#.##thewifi.com
- DNS ASK ip##pi.com
- DNS ASK up#####svc.duckdns.org
Другое
Добавляет корневой сертификат
Создает и запускает на исполнение
- '%TEMP%\certmgr.exe' -add "%TEMP%\microsoft.cer" -s -r localMachine root /all
- 'C:\users\public\dllhost_.exe'
- 'C:\users\public\dllhost.exe'
- '<SYSTEM32>\forfiles.exe' /c "cmd.exe /c %temp%\tmpd.bat"' (со скрытым окном)
- 'C:\users\public\dllhost_.exe' ' (со скрытым окном)
- 'C:\users\public\dllhost.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\forfiles.exe' /c "cmd.exe /c %temp%\tmpd.bat"
- '<SYSTEM32>\cmd.exe' %temp%\tmpd.bat
- '<SYSTEM32>\schtasks.exe' /Create /TN "GoogleUpdateTaskMachineU" /XML "%TEMP%\1.xml"
- '<SYSTEM32>\schtasks.exe' /Create /TN "GoogleUpdateTaskMachineA" /XML "%TEMP%\2.xml"
- '<SYSTEM32>\schtasks.exe' /Create /TN "GoogleUpdateTaskMachineSSU" /XML "%TEMP%\1.xml"
- '<SYSTEM32>\schtasks.exe' /Create /TN "GoogleUpdateTaskMachineSTA" /XML "%TEMP%\2.xml"
- '<SYSTEM32>\cmd.exe' /c del "%TEMP%\tmpd.bat"
- '<SYSTEM32>\taskeng.exe' {16A62DB2-1029-4FC6-BE6F-5BA8BA19DB77} S-1-5-21-1960123792-2022915161-3775307078-1001:yxfnkeyzk\user:Interactive:[1]
- '%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe'
