Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'svchost.exe' = '%TEMP%\\svchost.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\wxdgmcklfmdsxzppma5.exe
- %HOMEPATH%\fqnjipnqzxxk.exe
- %TEMP%\bctzgcmg.dll
- %TEMP%\res7bd.tmp
- %TEMP%\csc6c9394042f948b3a259d2d0f0a7ed21.tmp
- %TEMP%\bctzgcmg.out
- %TEMP%\bctzgcmg.cmdline
- %TEMP%\svchost.exe
- %TEMP%\bctzgcmg.0.cs
- %TEMP%\resf147.tmp
- %TEMP%\csc7496d0c1fac9435fb0195997e3df6e3e.tmp
- %TEMP%\tmxd4w5g.out
- %TEMP%\tmxd4w5g.cmdline
- %TEMP%\tmxd4w5g.0.cs
- %APPDATA%\wxdgmcklfmdsxzppm
- %TEMP%\tmxd4w5g.dll
- %APPDATA%\logs\01-23-2020
Удаляет следующие файлы
- %TEMP%\resf147.tmp
- %TEMP%\csc7496d0c1fac9435fb0195997e3df6e3e.tmp
- %TEMP%\tmxd4w5g.0.cs
- %TEMP%\tmxd4w5g.dll
- %TEMP%\tmxd4w5g.cmdline
- %TEMP%\tmxd4w5g.out
- %TEMP%\res7bd.tmp
- %TEMP%\csc6c9394042f948b3a259d2d0f0a7ed21.tmp
- %TEMP%\bctzgcmg.out
- %TEMP%\bctzgcmg.dll
- %TEMP%\bctzgcmg.0.cs
- %TEMP%\bctzgcmg.cmdline
Сетевая активность
TCP
Запросы HTTP GET
- http://ip##pi.com/json/
- http://pa###bin.com/raw/3vsJLpWu
- http://pa###bin.com/3vsJLpWu
UDP
- DNS ASK ip##pi.com
- DNS ASK pa###bin.com
- DNS ASK ma####1.ddns.net
Другое
Создает и запускает на исполнение
- '%APPDATA%\wxdgmcklfmdsxzppma5.exe' 1
- '%HOMEPATH%\fqnjipnqzxxk.exe'
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\tmxd4w5g.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF147.tmp" "%TEMP%\CSC7496D0C1FAC9435FB0195997E3DF6E3E.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\bctzgcmg.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7BD.tmp" "%TEMP%\CSC6C9394042F948B3A259D2D0F0A7ED21.TMP"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\tmxd4w5g.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESF147.tmp" "%TEMP%\CSC7496D0C1FAC9435FB0195997E3DF6E3E.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\bctzgcmg.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES7BD.tmp" "%TEMP%\CSC6C9394042F948B3A259D2D0F0A7ED21.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe'
