Техническая информация
Для обеспечения автозапуска и распространения
Создает следующие сервисы
- [<HKLM>\System\CurrentControlSet\Services\instnm] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\instnm] 'ImagePath' = '"%WINDIR%\SysWOW64\KBDTUF\instnm.exe"'
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JAB0AGgAaQBiAD0AJwBoAGUAZQBqACcAOwBbAE4AZQB0AC4AUwBlAHIAdgBpAGMAZQBQAG8AaQBuAHQATQBhAG4AYQBnAGUAcgBdADoAOgAiAFMARQBjAGAAVQByAGAASQBUAFkAYABwAHIATwB0AE8AYwBPAGwAIgAgAD0AIAAnAHQAbABzADEAMgAsAC...
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\997.exe
Удаляет следующие файлы
- %WINDIR%\syswow64\kbdtuf\instnm.exe
Перемещает следующие файлы
- %HOMEPATH%\997.exe в %WINDIR%\syswow64\kbdtuf\instnm.exe
Сетевая активность
Подключается к
- '17#.#44.130.105':443
- '19#.#7.69.201':8080
- '15#.#.164.178':8081
- '78.##8.170.128':80
- '20#.#53.216.178':7080
- '77.#4.78.80':443
TCP
Запросы HTTP GET
- http://mi###.tri-comma.com/wp-admin/BmKOeycm0704/
- http://de####acovid.com/wp-admin/dGzIMVvo/
- http://do###hai.com/wp-admin/Wq6Kdoisk1r4060453/
- http://ag######ame.reviewshell.com/cgi-bin/csoa45gw51315935/
Запросы HTTP POST
- http://17#.##4.130.105:443/6RmIsg1/txrGq/ via 17#.#44.130.105
- http://77.##.78.80:443/ya87pc7NXGBYYp6/Li05zuigED6aDnLHMIQ/U2yvFcyy6GP185/uh3v6Gji51/8saNFIcpnK06/v08q4XL/ via 77.#4.78.80
UDP
- DNS ASK mi###.tri-comma.com
- DNS ASK de####acovid.com
- DNS ASK do###hai.com
- DNS ASK ag######ame.reviewshell.com
Другое
Создает и запускает на исполнение
- '%HOMEPATH%\997.exe'
- '%WINDIR%\syswow64\kbdtuf\instnm.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JAB0AGgAaQBiAD0AJwBoAGUAZQBqACcAOwBbAE4AZQB0AC4AUwBlAHIAdgBpAGMAZQBQAG8AaQBuAHQATQBhAG4AYQBnAGUAcgBdADoAOgAiAFMARQBjAGAAVQByAGAASQBUAFkAYABwAHIATwB0AE8AYwBPAGwAIgAgAD0AIAAnAHQAbABzADEAMgAsAC...' (со скрытым окном)
