Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\notepad
- <SYSTEM32>\tasks\winrar archiver auto update scheduler
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im "wrarupd.exe"
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\vens.exe
- %TEMP%\rarsfx0\winrarx64.exe
- %TEMP%\is-slqjf.tmp\winrarx64.tmp
- %TEMP%\is-huo1b.tmp\_isetup\_setup64.tmp
- %TEMP%\is-huo1b.tmp\idp.dll
- %TEMP%\is-976fc.tmp\winrarx64.tmp
- %TEMP%\is-2qodv.tmp\_isetup\_setup64.tmp
- %TEMP%\is-2qodv.tmp\idp.dll
- %CommonProgramFiles(x86)%\winrar archiver\update\is-j2ktj.tmp
- %TEMP%\is-2qodv.tmp\is-7daiv.tmp
- %APPDATA%\neon\05-11-2020
Удаляет следующие файлы
- %TEMP%\is-huo1b.tmp\idp.dll
- %TEMP%\is-huo1b.tmp\_isetup\_setup64.tmp
- %TEMP%\is-slqjf.tmp\winrarx64.tmp
- %TEMP%\is-2qodv.tmp\_setup.exe
- %TEMP%\is-2qodv.tmp\idp.dll
- %TEMP%\is-2qodv.tmp\_isetup\_setup64.tmp
- %TEMP%\is-976fc.tmp\winrarx64.tmp
Перемещает следующие файлы
- %CommonProgramFiles(x86)%\winrar archiver\update\is-j2ktj.tmp в %CommonProgramFiles(x86)%\winrar archiver\update\wrarupd.exe
- %TEMP%\is-2qodv.tmp\is-7daiv.tmp в %TEMP%\is-2qodv.tmp\_setup.exe
Сетевая активность
Подключается к
- 'qa##.##namic-dns.net':10134
TCP
Запросы HTTP GET
- http://ip##pi.com/json/
UDP
- DNS ASK ip##pi.com
- DNS ASK qa##.##namic-dns.net
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\rarsfx0\vens.exe'
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' /c Add-MpPreference -ExclusionPath "%TEMP%\RarSFX0\vens.exe"
- '%TEMP%\rarsfx0\winrarx64.exe'
- '%TEMP%\is-slqjf.tmp\winrarx64.tmp' /SL5="$B01DC,3247882,122880,%TEMP%\RarSFX0\winrarx64.exe"
- '%TEMP%\rarsfx0\winrarx64.exe' /VERYSILENT
- '%TEMP%\is-976fc.tmp\winrarx64.tmp' /SL5="$70220,3247882,122880,%TEMP%\RarSFX0\winrarx64.exe" /VERYSILENT
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' /c Add-MpPreference -ExclusionPath "%TEMP%\RarSFX0\vens.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im "wrarupd.exe"' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Create /F /SC ONLOGON /RL HIGHEST /TN "WinRAR archiver Auto Update Scheduler" /TR "\"%CommonProgramFiles(x86)%\WinRAR archiver\Update\wrarupd.exe\"' (со скрытым окном)
- '%TEMP%\rarsfx0\vens.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\schtasks.exe' /query
- '%WINDIR%\syswow64\schtasks.exe' /create /sc MINUTE /tn notepad /MO 1 /tr %TEMP%\RarSFX0\vens.exe
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe'
- '%WINDIR%\syswow64\schtasks.exe' /Create /F /SC ONLOGON /RL HIGHEST /TN "WinRAR archiver Auto Update Scheduler" /TR "\"%CommonProgramFiles(x86)%\WinRAR archiver\Update\wrarupd.exe\"
- '<SYSTEM32>\taskeng.exe' {1A80F490-E1AB-4C9E-A2C9-77FE0D8A5896} S-1-5-21-1960123792-2022915161-3775307078-1001:ebfbsjv\user:Interactive:[1]
