Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\sud] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\sud] 'ImagePath' = '"%WINDIR%\SysWOW64\dpapiprovider\sud.exe"'
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JAB0AGgAaQBiAD0AJwBoAGUAZQBqACcAOwBbAE4AZQB0AC4AUwBlAHIAdgBpAGMAZQBQAG8AaQBuAHQATQBhAG4AYQBnAGUAcgBdADoAOgAiAFMARQBjAGAAVQByAGAASQBUAFkAYABwAHIATwB0AE8AYwBPAGwAIgAgAD0AIAAnAHQAbABzADEAMgAsAC...
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\997.exe
Перемещает следующие файлы
- %HOMEPATH%\997.exe в %WINDIR%\syswow64\dpapiprovider\sud.exe
Сетевая активность
Подключается к
- '17#.#44.130.105':443
- '19#.#7.69.201':8080
- '15#.#.164.178':8081
- '78.##8.170.128':80
- '20#.#53.216.178':7080
- '77.#4.78.80':443
- '17#.#3.167.120':8080
- '17#.#.241.28':80
- '14#.#5.101.72':8080
TCP
Запросы HTTP GET
- http://mi###.tri-comma.com/wp-admin/BmKOeycm0704/
- http://de####acovid.com/wp-admin/dGzIMVvo/
- http://do###hai.com/wp-admin/Wq6Kdoisk1r4060453/
- http://ag######ame.reviewshell.com/cgi-bin/csoa45gw51315935/
Запросы HTTP POST
- http://77.##.78.80:443/uCnp09Gx/ESCJto02yAo8YsJKI/UqnZtdq4GL/7aTTBfVWO/LbjCFdAiNtLb/ via 77.#4.78.80
UDP
- DNS ASK mi###.tri-comma.com
- DNS ASK de####acovid.com
- DNS ASK do###hai.com
- DNS ASK ag######ame.reviewshell.com
Другое
Создает и запускает на исполнение
- '%HOMEPATH%\997.exe'
- '%WINDIR%\syswow64\dpapiprovider\sud.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JAB0AGgAaQBiAD0AJwBoAGUAZQBqACcAOwBbAE4AZQB0AC4AUwBlAHIAdgBpAGMAZQBQAG8AaQBuAHQATQBhAG4AYQBnAGUAcgBdADoAOgAiAFMARQBjAGAAVQByAGAASQBUAFkAYABwAHIATwB0AE8AYwBPAGwAIgAgAD0AIAAnAHQAbABzADEAMgAsAC...' (со скрытым окном)
