Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'CB5CF0B215562186886669' = '%APPDATA%\CB5CF0B215562186886669\CB5CF0B215562186886669.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Updates' = '%APPDATA%\Microsoft\Updates\svchost.vbs'
Изменяет следующие исполняемые системные файлы
- %WINDIR%\syswow64\dllhost.exe
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- cb5cf0b215562186886669.exe
Изменяет следующие настройки браузера Windows Internet Explorer
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Internet Settings\Zones\3] '2500' = '00000003'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\cb5cf0b215562186886669
- %APPDATA%\microsoft\updates\svchost.vbs
- %APPDATA%\microsoft\updates\start.vbs
- %APPDATA%\microsoft\updates\start.bat
- %APPDATA%\microsoft\updates\setup.bat
- %APPDATA%\microsoft\updates\opencl.dll
- %APPDATA%\microsoft\updates\nvrtc64_92.dll
- %APPDATA%\microsoft\updates\nvrtc-builtins64_92.dll
- %APPDATA%\microsoft\updates\msvcp140.dll
- %APPDATA%\microsoft\updates\install.vbs
- %TEMP%\rarsfx0\vcruntime140.dll
- %TEMP%\rarsfx0\updates.exe
- %APPDATA%\microsoft\updates\updates.exe
- %TEMP%\rarsfx0\svchost.vbs
- %TEMP%\rarsfx0\start.bat
- %TEMP%\rarsfx0\setup.bat
- %TEMP%\rarsfx0\opencl.dll
- %TEMP%\rarsfx0\nvrtc-builtins64_92.dll
- %TEMP%\rarsfx0\nvrtc64_92.dll
- %TEMP%\rarsfx0\msvcp140.dll
- %TEMP%\rarsfx0\install.vbs
- %TEMP%\31cb.tmp.chromium.exe
- %TEMP%\cb5cf0b21556218688666964
- %TEMP%\cb5cf0b21556218688666932
- %APPDATA%\cb5cf0b215562186886669\cb5cf0b215562186886669.exe
- %TEMP%\rarsfx0\start.vbs
- %APPDATA%\microsoft\updates\vcruntime140.dll
Удаляет следующие файлы
- %TEMP%\cb5cf0b215562186886669
- %TEMP%\rarsfx0\install.vbs
- %TEMP%\rarsfx0\msvcp140.dll
- %TEMP%\rarsfx0\nvrtc-builtins64_92.dll
- %TEMP%\rarsfx0\nvrtc64_92.dll
- %TEMP%\rarsfx0\opencl.dll
- %TEMP%\rarsfx0\start.bat
- %TEMP%\rarsfx0\start.vbs
- %TEMP%\rarsfx0\svchost.vbs
- %TEMP%\rarsfx0\updates.exe
- %TEMP%\rarsfx0\vcruntime140.dll
Самоудаляется.
Сетевая активность
Подключается к
- 'mi###gate.com':443
TCP
Запросы HTTP GET
- http://f0####43.xsph.ru/u5m2b9v/chromium.exe
Запросы HTTP POST
- http://62.##3.117.136/client.php?CB####################
UDP
- DNS ASK f0####43.xsph.ru
- DNS ASK mi###gate.com
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\cb5cf0b215562186886669\cb5cf0b215562186886669.exe'
- '%TEMP%\31cb.tmp.chromium.exe'
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\RarSFX0\install.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\Microsoft\Updates\svchost.vbs"
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\Microsoft\Updates\start.vbs"
- '%APPDATA%\microsoft\updates\updates.exe' --user 0xPh0enix@protonmail.com --xmr 2
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\setup.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\Microsoft\Updates\start.vbs"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\Microsoft\Updates\start.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\start.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\dllhost.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\setup.bat" "
- '%WINDIR%\syswow64\reg.exe' ADD "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "Updates" /t REG_SZ /d ""%APPDATA%"\Microsoft\Updates\svchost.vbs" /f
- '%WINDIR%\syswow64\cmd.exe' /c ""%APPDATA%\Microsoft\Updates\start.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\RarSFX0\start.bat" "
