Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\OssecSvc] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\OssecSvc] 'ImagePath' = '"%ProgramFiles(x86)%\ossec-agent\ossec-agent.exe"'
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\net.exe' stop OssecSvc
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ixp000.tmp\wazuh_agent.cmd
- %ProgramFiles(x86)%\ossec-agent\tmp\tmp_15878430502764
- %ProgramFiles(x86)%\ossec-agent\wodles\syscollector
- %ProgramFiles(x86)%\ossec-agent\rids\052
- %ProgramFiles(x86)%\ossec-agent\shared\merged.mg
- %ProgramFiles(x86)%\ossec-agent\queue\fim\db\fim.db
- %ProgramFiles(x86)%\ossec-agent\queue\fim\db\fim.db-journal
- %ProgramFiles(x86)%\ossec-agent\shared\ar.conf
- %ProgramFiles(x86)%\ossec-agent\ossec-agent.state
- %ProgramFiles(x86)%\ossec-agent\.agent_info
- %ProgramFiles(x86)%\ossec-agent\client.keys
- %ProgramFiles(x86)%\ossec-agent\ossec.log
- %PROGRAMDATA%\microsoft\windows\start menu\programs\ossec\documentation.lnk
- %PROGRAMDATA%\microsoft\windows\start menu\programs\ossec\manage agent.lnk
- %PROGRAMDATA%\microsoft\windows\start menu\programs\ossec\uninstall.lnk
- %ProgramFiles(x86)%\ossec-agent\rids\sender_counter
- %ProgramFiles(x86)%\ossec-agent\shared\cis_sles11_linux_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\active-response\active-responses.log
- %ProgramFiles(x86)%\ossec-agent\shared\cis_debian_linux_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\shared\system_audit_ssh.txt
- %ProgramFiles(x86)%\ossec-agent\shared\system_audit_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\shared\cis_win2012r2_memberl2_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\shared\cis_win2012r2_memberl1_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\shared\cis_win2012r2_domainl2_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\shared\cis_win2012r2_domainl1_rcl.txt
- %PROGRAMDATA%\microsoft\windows\start menu\programs\ossec\edit conf.lnk
- %ProgramFiles(x86)%\ossec-agent\shared\cis_sles12_linux_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\shared\cis_rhel_linux_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\shared\cis_rhel7_linux_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\shared\cis_rhel6_linux_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\shared\cis_rhel5_linux_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\shared\cis_mysql5-6_enterprise_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\shared\cis_mysql5-6_community_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\shared\agent.conf
- %ProgramFiles(x86)%\ossec-agent\shared\cis_apache2224_rcl.txt
- %WINDIR%\installer\{4d3a2b6d-877b-4e67-bb91-b40169f9af62}\icon.ico
- %ProgramFiles(x86)%\ossec-agent\ossec.conf
- %ProgramFiles(x86)%\ossec-agent\manage_agents.exe
- %ProgramFiles(x86)%\ossec-agent\local_internal_options.conf
- %ProgramFiles(x86)%\ossec-agent\license.txt
- %ProgramFiles(x86)%\ossec-agent\libwinpthread-1.dll
- %ProgramFiles(x86)%\ossec-agent\libwazuhext.dll
- %ProgramFiles(x86)%\ossec-agent\internal_options.conf
- %ProgramFiles(x86)%\ossec-agent\active-response\bin\netsh.cmd
- %ProgramFiles(x86)%\ossec-agent\help.txt
- %ProgramFiles(x86)%\ossec-agent\agent-auth.exe
- %TEMP%\msi4a88.log
- %ProgramFiles(x86)%\ossec-agent\sslagent.key
- %ProgramFiles(x86)%\ossec-agent\sslagent.cert
- nul
- %TEMP%\ixp000.tmp\wazuh-agent-3.12.2-1.msi
- %ProgramFiles(x86)%\ossec-agent\agent-auth.exe.manifest
- %ProgramFiles(x86)%\ossec-agent\ruleset\sca\sca_win_audit.yml
- %ProgramFiles(x86)%\ossec-agent\win32ui.exe.manifest
- %ProgramFiles(x86)%\ossec-agent\ossec-agent.exe
- %ProgramFiles(x86)%\ossec-agent\win32ui.exe
- %ProgramFiles(x86)%\ossec-agent\shared\win_malware_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\shared\win_audit_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\shared\win_applications_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\vista_sec.txt
- %ProgramFiles(x86)%\ossec-agent\version
- %ProgramFiles(x86)%\ossec-agent\wpk_root.pem
- %ProgramFiles(x86)%\ossec-agent\syscollector_win_ext.dll
- %ProgramFiles(x86)%\ossec-agent\active-response\bin\route-null-2012.cmd
- %ProgramFiles(x86)%\ossec-agent\active-response\bin\route-null.cmd
- %ProgramFiles(x86)%\ossec-agent\shared\rootkit_trojans.txt
- %ProgramFiles(x86)%\ossec-agent\shared\rootkit_files.txt
- %ProgramFiles(x86)%\ossec-agent\revision
- %ProgramFiles(x86)%\ossec-agent\active-response\bin\restart-ossec.cmd
- %ProgramFiles(x86)%\ossec-agent\active-response\bin\netsh-win-2016.cmd
- %ProgramFiles(x86)%\ossec-agent\tmp\tmp_15878430751652
Удаляет следующие файлы
- %ProgramFiles(x86)%\ossec-agent\queue\fim\db\fim.db-journal
- %ProgramFiles(x86)%\ossec-agent\shared\rootkit_files.txt
- %ProgramFiles(x86)%\ossec-agent\shared\rootkit_trojans.txt
- %ProgramFiles(x86)%\ossec-agent\shared\win_applications_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\shared\win_audit_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\shared\win_malware_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\queue\fim\db\fim.db
Подменяет следующие файлы
- %ProgramFiles(x86)%\ossec-agent\queue\fim\db\fim.db-journal
- %ProgramFiles(x86)%\ossec-agent\shared\rootkit_files.txt
- %ProgramFiles(x86)%\ossec-agent\shared\rootkit_trojans.txt
- %ProgramFiles(x86)%\ossec-agent\shared\win_applications_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\shared\win_audit_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\shared\win_malware_rcl.txt
- %ProgramFiles(x86)%\ossec-agent\queue\fim\db\fim.db
Сетевая активность
TCP
- 'ce####.rael.guru':2020
UDP
- DNS ASK ce####.rael.guru
- 'ce####.rael.guru':1999
Другое
Создает и запускает на исполнение
- '%ProgramFiles(x86)%\ossec-agent\agent-auth.exe' -m cecile.rael.guru -p 2020 -k "%ProgramFiles(x86)%\ossec-agent\sslagent.key" -x "%ProgramFiles(x86)%\ossec-agent\sslagent.cert"
- '%ProgramFiles(x86)%\ossec-agent\ossec-agent.exe'
- '<SYSTEM32>\cmd.exe' /c wazuh_agent.cmd' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c wazuh_agent.cmd
- '%WINDIR%\syswow64\net1.exe' stop OssecSvc
- '%WINDIR%\syswow64\cmd.exe' /c DATE/T
- '%WINDIR%\syswow64\cmd.exe' /c ""active-response/bin/restart-ossec.cmd" add "-" "null" "(from_the_server) (no_rule_id)""
- '<SYSTEM32>\timeout.exe' /t 555
- '<SYSTEM32>\net1.exe' START "OssecSvc"
- '<SYSTEM32>\net.exe' START "OssecSvc"
- '%WINDIR%\syswow64\net.exe' start OssecSvc
- '<SYSTEM32>\msiexec.exe' /i "%TEMP%\IXP000.TMP\wazuh-agent-3.12.2-1.msi" /q WAZUH_MANAGER=cecile.rael.guru WAZUH_REGISTRATION_SERVER=cecile.rael.guru WAZUH_MANAGER_PORT=1999 WAZUH_REGISTRATION_PORT=2020 WAZUH_REGISTRA...
- '<SYSTEM32>\cmd.exe' /S /D /c" set /p=Installing Key..."
- '<SYSTEM32>\cmd.exe' /S /D /c" set /p=Installing Cert..."
- '<SYSTEM32>\net1.exe' session
- '<SYSTEM32>\net.exe' session
- '<SYSTEM32>\cmd.exe' /S /D /c" set /p=Checking if script is running as admin..."
- '<SYSTEM32>\cmd.exe' /S /D /c" echo"
- '<SYSTEM32>\cmd.exe' /S /D /c" set /p=Installing..."
- '%WINDIR%\syswow64\net1.exe' start OssecSvc
