Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\cacls.exe] 'Debugger' = '<SYSTEM32>\svchost.exe'
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\nrbfurwyf] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\nrbfurwyf] 'ImagePath' = '%WINDIR%\nsyzlnbt\nfqbdtr.exe'
- [<HKLM>\System\CurrentControlSet\Services\PolicyAgent] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\npf] 'ImagePath' = 'system32\drivers\npf.sys'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\NPF] 'Start' = '00000002'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\net.exe' stop "Boundary Meter"
- '%WINDIR%\syswow64\net.exe' stop "TrueSight Meter"
- '%WINDIR%\syswow64\net.exe' stop npf
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\nsyzlnbt\nfqbdtr.exe
- %WINDIR%\fnwtqsuit\bsyvinbet\wpcap.dll
- %WINDIR%\fnwtqsuit\bsyvinbet\packet.dll
- %WINDIR%\fnwtqsuit\bsyvinbet\qqbtssban.exe
- %WINDIR%\temp\udd522f.tmp
- <SYSTEM32>\packet.dll
- <SYSTEM32>\wpcap.dll
- <DRIVERS>\npf.sys
- %ProgramFiles%\winpcap\uninstall.exe
- %ProgramFiles%\winpcap\license
- %WINDIR%\fnwtqsuit\bsyvinbet\pftzrbvfr.exe
- %ProgramFiles%\winpcap\rpcapd.exe
- %WINDIR%\syswow64\wpcap.dll
- %WINDIR%\syswow64\pthreadvc.dll
- %WINDIR%\temp\nsx4715.tmp\nsexec.dll
- %WINDIR%\temp\nsx4715.tmp\system.dll
- %WINDIR%\temp\nsx4715.tmp\final.ini
- %WINDIR%\temp\nsx4715.tmp\options.ini
- %WINDIR%\temp\nsi4705.tmp
- %WINDIR%\fnwtqsuit\bsyvinbet\wpcap.exe
- %WINDIR%\temp\fnwtqsuit\ztsrnqsry.exe
- %WINDIR%\syswow64\packet.dll
- global\npf_{6a52be73-ec8e-4f63-a268-7517a50dcb38}
Удаляет следующие файлы
- %WINDIR%\temp\nsx4715.tmp\final.ini
- %WINDIR%\temp\nsx4715.tmp\nsexec.dll
- %WINDIR%\temp\nsx4715.tmp\options.ini
- %WINDIR%\temp\nsx4715.tmp\system.dll
- %WINDIR%\temp\udd522f.tmp
Изменяет файл HOSTS.
Самоперемещается
- из <Полный путь к файлу> в %TEMP%\1125171\....\temporaryfile
Сетевая активность
Подключается к
- 'bk.####vbnc2e.stream':63145
UDP
- DNS ASK li.####hero2019.club
- DNS ASK bk.####vbnc2e.stream
- DNS ASK rp.####vbnc2e.stream
Другое
Ищет следующие окна
- ClassName: '' WindowName: 'pftzrbvfr.exe'
- ClassName: '' WindowName: 'qqbtssban.exe'
- ClassName: '' WindowName: 'swrpwe.exe'
- ClassName: '' WindowName: 'spoolsrv.exe'
- ClassName: '' WindowName: 'svschost.exe'
- ClassName: '' WindowName: 'scvhost.exe'
- ClassName: '' WindowName: 'wmic.exe'
- ClassName: '' WindowName: 'vfshost.exe'
- ClassName: '' WindowName: 'vimpcsvc.exe'
- ClassName: '' WindowName: 'docmicfg.exe'
- ClassName: '' WindowName: 'schoedcl.exe'
Создает и запускает на исполнение
- '%WINDIR%\nsyzlnbt\nfqbdtr.exe'
- '%WINDIR%\fnwtqsuit\bsyvinbet\wpcap.exe' /S
- '%WINDIR%\fnwtqsuit\bsyvinbet\qqbtssban.exe' -p 80 222.186.128.1-222.186.255.255 --rate=1024 -oJ %WINDIR%\fnwtqsuit\bsyvinbet\Scant.txt
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 5 & Start %WINDIR%\nsyzlnbt\nfqbdtr.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c echo Y|cacls <DRIVERS>\etc\hosts /T /D users & echo Y|cacls <DRIVERS>\etc\hosts /T /D administrators & echo Y|cacls <DRIVERS>\etc\hosts /T /D SYSTEM' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' ipsec static add policy name=Bastards description=FuckingBastards' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' ipsec static add filteraction name=BastardsList action=block' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\fnwtqsuit\bsyvinbet\wpcap.exe /S' (со скрытым окном)
- '%WINDIR%\syswow64\net.exe' stop "Boundary Meter"' (со скрытым окном)
- '%WINDIR%\syswow64\net.exe' stop "TrueSight Meter"' (со скрытым окном)
- '%WINDIR%\syswow64\net.exe' stop npf' (со скрытым окном)
- '%WINDIR%\syswow64\net.exe' start npf' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c net start npf' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\fnwtqsuit\bsyvinbet\qqbtssban.exe -p 80 222.186.128.1-222.186.255.255 --rate=1024 -oJ %WINDIR%\fnwtqsuit\bsyvinbet\Scant.txt' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 5 & Start %WINDIR%\nsyzlnbt\nfqbdtr.exe
- '%WINDIR%\syswow64\net1.exe' start npf
- '%WINDIR%\syswow64\net.exe' start npf
- '%WINDIR%\syswow64\net1.exe' stop npf
- '%WINDIR%\syswow64\net1.exe' stop "TrueSight Meter"
- '%WINDIR%\syswow64\net1.exe' stop "Boundary Meter"
- '%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\fnwtqsuit\bsyvinbet\wpcap.exe /S
- '%WINDIR%\syswow64\cmd.exe' /c net start npf
- '%WINDIR%\syswow64\netsh.exe' ipsec static add filteraction name=BastardsList action=block
- '%WINDIR%\syswow64\cacls.exe' <DRIVERS>\etc\hosts /T /D SYSTEM
- '%WINDIR%\syswow64\cacls.exe' <DRIVERS>\etc\hosts /T /D administrators
- '%WINDIR%\syswow64\cacls.exe' <DRIVERS>\etc\hosts /T /D users
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" echo Y"
- '%WINDIR%\syswow64\cmd.exe' /c echo Y|cacls <DRIVERS>\etc\hosts /T /D users & echo Y|cacls <DRIVERS>\etc\hosts /T /D administrators & echo Y|cacls <DRIVERS>\etc\hosts /T /D SYSTEM
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 5
- '%WINDIR%\syswow64\netsh.exe' ipsec static add policy name=Bastards description=FuckingBastards
- '%WINDIR%\syswow64\cmd.exe' /c %WINDIR%\fnwtqsuit\bsyvinbet\qqbtssban.exe -p 80 222.186.128.1-222.186.255.255 --rate=1024 -oJ %WINDIR%\fnwtqsuit\bsyvinbet\Scant.txt
