Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\system\systemcheck
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- windows.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\autbec3.tmp
- %TEMP%\mia.tmp
- %TEMP%\mia1\blue.avi
- %TEMP%\mia1\componentstree.dfm
- %TEMP%\mia1\destination.dfm
- %TEMP%\mia1\destination.dfm.miaf
- %TEMP%\mia1\finish.dfm
- %TEMP%\mia1\finish.dfm.miaf
- %TEMP%\mia1\progressprereq.dfm
- %TEMP%\mia1\gray.avi
- %TEMP%\mia1\license.rtf
- %TEMP%\mia1\licensecheck.dfm
- %TEMP%\mia1\licensecheck.dfm.miaf
- %TEMP%\mia1\maintenance.dfm
- %TEMP%\mia1\prereq.dfm
- %TEMP%\mia1\prereq.dfm.miaf
- %TEMP%\mia1\progress.dfm
- %TEMP%\lang.loc
- %TEMP%\mia1\installaware.png
- %TEMP%\mia1\icon.ico
- %TEMP%\mia1\progress.dfm.miaf
- %TEMP%\mia3952.tmp\data\offline\e7224356\f4a5e475\extension.vsixmanifest
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\unicode\msi.inf
- %TEMP%\mia3952.tmp\data\offline\e7224356\f4a5e475\catalog.json
- %TEMP%\mia3952.tmp\data\offline\e7224356\3fb58a67\catalog.json
- %TEMP%\mia3952.tmp\data\offline\e7224356\f4a5e475\manifest.json
- %TEMP%\mia3952.tmp\data\offline\e7224356\3fb58a67\manifest.json
- %TEMP%\mia3952.tmp\data\offline\e7224356\9a391d2b\.net reactor sdk test apps.lnk
- %TEMP%\mia3952.tmp\data\offline\a4a02072\54b05719\reactor.nrcfg
- %TEMP%\mia3952.tmp\data\offline\e7224356\54b05719\reactor.nrcfg
- %TEMP%\mia3952.tmp\data\offline\e7224356\fc543b6d\dotnet reactor vspackage.pkgdef
- %TEMP%\mia3952.tmp\data\offline\e7224356\f4a5e475\dotnetreactorvspackage.pkgdef
- %TEMP%\mia3952.tmp\data\offline\e7224356\3fb58a67\dotnetreactorvspackage.pkgdef
- %TEMP%\mia3952.tmp\dotnet_reactor_setup.res
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\unicode\msimain.sdb
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\ansi\msimain.sdb
- %TEMP%\mia3952.tmp\data\offline\e7224356\fc543b6d\extension.vsixmanifest
- %TEMP%\mia3952.tmp\data\offline\e7224356\3fb58a67\extension.vsixmanifest
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\unicode\msi.cat
- %TEMP%\mia3952.tmp\data\offline\e7224356\fc543b6d\extension15.vsixmanifest
- %TEMP%\mia3952.tmp\data\offline\e7224356\97cc7de\license.dll
- %TEMP%\mia1\readme.dfm
- %TEMP%\mia1\mwinrunexec.dll
- %APPDATA%\microsoft\windows\tor.tmp
- %APPDATA%\microsoft\windows\tor\libeay32.dll
- %APPDATA%\microsoft\windows\tor\libevent-2-1-6.dll
- %APPDATA%\microsoft\windows\tor\libevent_core-2-1-6.dll
- %APPDATA%\microsoft\windows\tor\libevent_extra-2-1-6.dll
- %APPDATA%\microsoft\windows\tor\libgcc_s_sjlj-1.dll
- %APPDATA%\microsoft\windows\tor\libgmp-10.dll
- %TEMP%\mia1\registration.dfm
- %APPDATA%\microsoft\windows\tor\libssp-0.dll
- %APPDATA%\microsoft\windows\tor\ssleay32.dll
- %APPDATA%\microsoft\windows\tor\tor.exe
- %APPDATA%\microsoft\windows\tor\zlib1.dll
- %APPDATA%\microsoft\windows\tor\tordata\torconfig
- %APPDATA%\microsoft\windows\tor\tordatasockslistenaddress 127.0.0.1\state.tmp
- %APPDATA%\microsoft\windows\tor\tordata\tor.pid
- %TEMP%\mia1\mmsiexec.dll
- %TEMP%\mia1\wizard.dfm
- %TEMP%\mia1\dotnet_reactor_setup.msi
- %TEMP%\mia1\welcome.dfm.miaf
- %TEMP%\mia1\welcome.dfm
- %TEMP%\mia1\registration.dfm.miaf
- %TEMP%\mia1\registrationwithserial.dfm.miaf
- %TEMP%\mia1\setuptype.dfm
- %TEMP%\mia1\startinstallation.dfm
- %TEMP%\mia1\startmenu.dfm
- %TEMP%\mia1\startmenu.dfm.miaf
- %TEMP%\mia1\update_download.dfm
- %TEMP%\mia3952.tmp\mia.lib
- %TEMP%\mia1\update_install.dfm
- %TEMP%\mia3952.tmp\data\offline\e7224356\54b05719\dotnet_reactor.exe.config
- %TEMP%\mia1\update_notify_install.dfm
- %TEMP%\mia1\update_setup_account.dfm
- %TEMP%\mia1\update_setup_account.dfm.miaf
- %TEMP%\mia1\update_setup_finish.dfm
- %TEMP%\mia1\update_setup_schedule.dfm
- %TEMP%\mia1\update_setup_schedule.dfm.miaf
- %TEMP%\mia1\update_setup_welcome.dfm
- %TEMP%\mia1\update_notify_download.dfm
- %TEMP%\mia1\registrationwithserial.dfm
- %TEMP%\mia1\update_reboot.dfm
- %TEMP%\mia3952.tmp\data\offline\e7224356\54b05719\vsreactoraddin.dll
- %TEMP%\mia3952.tmp\data\offline\e7224356\54b05719\vs13reactoraddin.dll
- %TEMP%\mia3952.tmp\data\offline\e7224356\54b05719\vs08reactoraddin.dll
- %TEMP%\mia3952.tmp\data\offline\e7224356\249b255c\messageboxinterface.vb
- %TEMP%\mia3952.tmp\data\offline\e7224356\249b255c\obfuscateattribute.vb
- %TEMP%\mia3952.tmp\data\offline\e7224356\fc543b6d\[content_types].xml
- %TEMP%\mia3952.tmp\data\offline\e7224356\3fb58a67\[content_types].xml
- %TEMP%\mia3952.tmp\data\offline\e7224356\f4a5e475\[content_types].xml
- %TEMP%\mia3952.tmp\data\offline\e7224356\a566ff4b\license agreement.html
- %TEMP%\mia3952.tmp\data\offline\e7224356\769b977d\license.dll.txt
- %TEMP%\mia3952.tmp\data\offline\e7224356\769b977d\licensegen.dll.txt
- %TEMP%\mia3952.tmp\data\offline\e7224356\769b977d\stacktracedeobfuscator.dll.txt
- %TEMP%\mia3952.tmp\data\offline\e7224356\54b05719\dotnet_reactor.console.exe
- %TEMP%\mia3952.tmp\data\.net reactor setup\32a1a3bc\54b05719\dotnet_reactor.exe
- %TEMP%\mia3952.tmp\data\offline\e7224356\54b05719\dotnet_reactor.exe
- %TEMP%\mia3952.tmp\dotnet_reactor_setup.exe
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\unicode\msiexec.exe
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\ansi\msiexec.exe
- %TEMP%\mia3952.tmp\data\offline\ff9c57ea\54b05719\nrcfg.ico
- %TEMP%\mia3952.tmp\data\offline\e7224356\54b05719\icon.ico
- %TEMP%\mia3952.tmp\data\offline\e7224356\249b255c\obfuscateattribute.cs
- %TEMP%\mia3952.tmp\data\offline\e7224356\54b05719\nrcfg.ico
- %TEMP%\mia3952.tmp\data\offline\cdb63265\54b05719\icon.ico
- %APPDATA%\microsoft\windows\windows.exe
- %TEMP%\cr_debug_log.txt
- %TEMP%\autf99a.tmp
- %TEMP%\cl_debug_log.txt
- %TEMP%\autfc4b.tmp
- %TEMP%\1.exe
- %TEMP%\32.exe
- %TEMP%\64.exe
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\unicode\msiinst.exe
- %APPDATA%\microsoft\windows\tor\tordatasockslistenaddress 127.0.0.1\unverified-microdesc-consensus.tmp
- %TEMP%\systemcheck.xml
- %TEMP%\mia3952.tmp\data\offline\e7224356\210adbc1\sdk
- %TEMP%\mia3952.tmp\data\offline\e7224356\210adbc1\slg
- %TEMP%\mia3952.tmp\data\dotnet_reactor_setup.msi
- %TEMP%\mia3952.tmp\dotnet_reactor_setup.msi
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\ansi\instmsi.msi
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\unicode\instmsi.msi
- %TEMP%\mia3952.tmp\data\offline\e7224356\a566ff4b\reactor_help.chm
- %TEMP%\asacpiex.dll
- %TEMP%\mia3952.tmp\data\.net reactor setup\9eb0bb0e\210adbc1\sdk
- %APPDATA%\microsoft\windows\tor\libwinpthread-1.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\ansi\msiinst.exe
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\ansi\cabinet.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\ansi\mspatcha.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\mwinrunexec.dll
- %TEMP%\mia3952.tmp\data\offline\mwinrun.dll\mwinrunexec.dll
- %TEMP%\mia3952.tmp\data\offline\e7224356\54b05719\ncc2.dll
- %TEMP%\mia3952.tmp\data\offline\e7224356\54b05719\ncc3.dll
- %TEMP%\mia3952.tmp\data\offline\e7224356\54b05719\nccheck.dll
- %TEMP%\mia3952.tmp\data\offline\e7224356\249b255c\messageboxinterface.cs
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\unicode\riched20.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\ansi\sdbapi.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\unicode\sdbapiu.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\unicode\shfolder.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\ansi\shfolder.dll
- %TEMP%\mia3952.tmp\data\offline\e7224356\769b977d\stacktracedeobfuscator.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\unicode\usp10.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\ansi\usp10.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\unicode\msls31.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\ansi\riched20.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\unicode\mspatcha.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\ansi\msls31.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\ansi\msisip.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\unicode\msisip.dll
- %TEMP%\mia3952.tmp\data\offline\e7224356\fc543b6d\dotnet reactor vspackage.dll
- %TEMP%\mia3952.tmp\data\offline\e7224356\f4a5e475\dotnetreactorvspackage.dll
- %TEMP%\mia3952.tmp\data\offline\e7224356\3fb58a67\dotnetreactorvspackage.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\unicode\imagehlp.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\ansi\imagehlp.dll
- %TEMP%\mia3952.tmp\data\offline\e7224356\77417ef5\license.dll
- %TEMP%\mia3952.tmp\data\offline\e7224356\cca4ce9d\brolib_x64.dll
- %TEMP%\mia3952.tmp\data\offline\e7224356\eac3569f\license.dll
- %TEMP%\mia3952.tmp\data\offline\e7224356\cca4ce9d\brolib_x86.dll
- %TEMP%\mia3952.tmp\data\offline\e7224356\769b977d\licensegen.dll
- %TEMP%\mia3952.tmp\data\offline\mmsi.dll\mmsiexec.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\unicode\msi.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\ansi\msi.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\unicode\msihnd.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\ansi\msihnd.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\unicode\msimsg.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\unicode\cabinet.dll
- %TEMP%\mia3952.tmp\data\microsoft windows installer 2.0\mwinrun.dll\ansi\msimsg.dll
- %TEMP%\mia3952.tmp\data\offline\e7224356\769b977d\licensegennetstandard.dll
- %APPDATA%\microsoft\windows\tor\tordatasockslistenaddress 127.0.0.1\cached-certs.tmp
Удаляет следующие файлы
- %TEMP%\autbec3.tmp
- %TEMP%\autf99a.tmp
- %TEMP%\autfc4b.tmp
- %TEMP%\systemcheck.xml
- %TEMP%\32.exe
- %TEMP%\64.exe
- %TEMP%\cl_debug_log.txt
- %TEMP%\cr_debug_log.txt
- %TEMP%\asacpiex.dll
- %TEMP%\lang.loc
- %TEMP%\mia.tmp
- %APPDATA%\microsoft\windows\tor.tmp
- %APPDATA%\microsoft\windows\tor\tordatasockslistenaddress 127.0.0.1\unverified-microdesc-consensus
Перемещает следующие файлы
- %APPDATA%\microsoft\windows\tor\tor.exe в %APPDATA%\microsoft\windows\tor\tor.exe
- %APPDATA%\microsoft\windows\tor\tordatasockslistenaddress 127.0.0.1\state.tmp в %APPDATA%\microsoft\windows\tor\tordatasockslistenaddress 127.0.0.1\state
- %APPDATA%\microsoft\windows\tor\tordatasockslistenaddress 127.0.0.1\unverified-microdesc-consensus.tmp в %APPDATA%\microsoft\windows\tor\tordatasockslistenaddress 127.0.0.1\unverified-microdesc-consensus
- %APPDATA%\microsoft\windows\tor\tordatasockslistenaddress 127.0.0.1\cached-certs.tmp в %APPDATA%\microsoft\windows\tor\tordatasockslistenaddress 127.0.0.1\cached-certs
Сетевая активность
Подключается к
- '18#.#20.101.30':20030
TCP
- 'localhost':9303
- '21#.#3.154.33':8443
Другое
Ищет следующие окна
- ClassName: 'TApplication' WindowName: 'dotnet_reactor_setup'
Создает и запускает на исполнение
- '%TEMP%\cl_debug_log.txt' e -p"JDQJndnqwdnqw2139dn21n3b312idDQDB" "%TEMP%\CR_Debug_Log.txt" -o"%TEMP%\"
- '%TEMP%\1.exe'
- '%TEMP%\mia3952.tmp\dotnet_reactor_setup.exe' /m="%TEMP%\1.exe" /k=""
- '%APPDATA%\microsoft\windows\windows.exe' -SystemCheck
- '%APPDATA%\microsoft\windows\windows.exe' -SystemCheck79429
- '%APPDATA%\microsoft\windows\windows.exe' e -p"DxSqsNKKOxqPrM4Y3xeK" "%APPDATA%\Microsoft\Windows\Tor.tmp" -o"%APPDATA%\Microsoft\Windows\Tor\"
- '%APPDATA%\microsoft\windows\tor\tor.exe' -f TorConfig
- '%TEMP%\cl_debug_log.txt' e -p"JDQJndnqwdnqw2139dn21n3b312idDQDB" "%TEMP%\CR_Debug_Log.txt" -o"%TEMP%\"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c schtasks.exe /Create /XML "%TEMP%\SystemCheck.xml" /TN "System\SystemCheck"' (со скрытым окном)
- '%APPDATA%\microsoft\windows\windows.exe' -SystemCheck' (со скрытым окном)
- '%APPDATA%\microsoft\windows\windows.exe' e -p"DxSqsNKKOxqPrM4Y3xeK" "%APPDATA%\Microsoft\Windows\Tor.tmp" -o"%APPDATA%\Microsoft\Windows\Tor\"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c schtasks.exe /Create /XML "%TEMP%\SystemCheck.xml" /TN "System\SystemCheck"
- '%WINDIR%\syswow64\schtasks.exe' /Create /XML "%TEMP%\SystemCheck.xml" /TN "System\SystemCheck"
- '<SYSTEM32>\taskeng.exe' {86CB9F03-AD79-41E1-BAEB-AF6EDDBC8E71} S-1-5-21-1960123792-2022915161-3775307078-1001:mwvrlflqpcva\user:Interactive:[1]
