Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\se-id-s-1-5-21-1960123792-2022915161-3775307078-1001
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im Indexer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-krsns.tmp\<Имя файла>.tmp
- %TEMP%\is-ej13p.tmp\_isetup\_setup64.tmp
- %TEMP%\is-ej13p.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-ej13p.tmp\indx.txt
- %TEMP%\is-ej13p.tmp\indx2.txt
- %APPDATA%\v.txt
- %TEMP%\is-ej13p.tmp\indexer.exe
- %APPDATA%\20267fe959\indexer.exe
- %APPDATA%\v1.txt
- <Текущая директория>\abp.bat
Удаляет следующие файлы
- %TEMP%\is-ej13p.tmp\indx.txt
- %TEMP%\is-ej13p.tmp\indx2.txt
- %APPDATA%\v.txt
- %APPDATA%\v1.txt
- %TEMP%\is-ej13p.tmp\indexer.exe
- %TEMP%\is-ej13p.tmp\_isetup\_setup64.tmp
- %TEMP%\is-ej13p.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-krsns.tmp\<Имя файла>.tmp
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://cd#.#csrctk.com/cap/SRC5090_SRC4979_RUNT_2020-04-06.txt
- http://cp.##srctk.com/offrcap/default.aspx?px##################################################
- http://sr#.#csrctk.com/trackerwcfsrv/tracker.svc/trackOffersView/?q=########################################
UDP
- DNS ASK cd#.#csrctk.com
- DNS ASK cp.##srctk.com
- DNS ASK sr#.#csrctk.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-krsns.tmp\<Имя файла>.tmp' /SL5="$A01BE,127375,119296,<Полный путь к файлу>"
- '<SYSTEM32>\taskkill.exe' /f /im Indexer.exe' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C <SYSTEM32>\wbem\wmic.exe useraccount where name="user" get sid> "%TEMP%\is-EJ13P.tmp\indx.txt"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C cmd /a /c type %TEMP%\is-EJ13P.tmp\indx.txt>%TEMP%\is-EJ13P.tmp\indx2.txt' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /tn SE-ID-S-1-5-21-1960123792-2022915161-3775307078-1001 /tr "%APPDATA%\20267fe959\Indexer.exe" /sc minute /mo 30 /RL Highest /F' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""<Текущая директория>\abp.bat" /VERYSILENT"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C <SYSTEM32>\wbem\wmic.exe useraccount where name="user" get sid> "%TEMP%\is-EJ13P.tmp\indx.txt"
- '<SYSTEM32>\wbem\wmic.exe' useraccount where name="user" get sid
- '<SYSTEM32>\cmd.exe' /C cmd /a /c type %TEMP%\is-EJ13P.tmp\indx.txt>%TEMP%\is-EJ13P.tmp\indx2.txt
- '<SYSTEM32>\cmd.exe' /a /c type %TEMP%\is-EJ13P.tmp\indx.txt
- '%WINDIR%\syswow64\schtasks.exe' /create /tn SE-ID-S-1-5-21-1960123792-2022915161-3775307078-1001 /tr "%APPDATA%\20267fe959\Indexer.exe" /sc minute /mo 30 /RL Highest /F
- '%WINDIR%\syswow64\cmd.exe' /c ""<Текущая директория>\abp.bat" /VERYSILENT"
- '%WINDIR%\syswow64\timeout.exe' /t 30
