Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\dtsh] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\dtsh] 'ImagePath' = '"%WINDIR%\SysWOW64\dialer\dtsh.exe"'
Создает следующие сервисы
- 'dtsh' "%WINDIR%\SysWOW64\dialer\dtsh.exe"
- 'dtsh' %WINDIR%\SysWOW64\dialer\dtsh.exe
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABPAFYASQBGAFQAagBjAGQAPQAnAFgAUgBBAEMAUQBiAG8AawAnADsAWwBOAGUAdAAuAFMAZQByAHYAaQBjAGUAUABvAGkAbgB0AE0AYQBuAGEAZwBlAHIAXQA6ADoAIgBTAGUAQwBgAFUAcgBgAGkAVABgAFkAUAByAGAAbwBgAFQATwBDAG8AbAAiAC...
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\641.exe
Перемещает следующие файлы
- %HOMEPATH%\641.exe в %WINDIR%\syswow64\dialer\dtsh.exe
Сетевая активность
Подключается к
- '73.##6.193.136':80
- '18#.#4.252.13':443
- '14#.#2.173.247':8080
- '89.##.150.160':8080
- '18#.#4.252.12':80
- '77.##.136.129':8080
- '83.##9.21.32':7080
- '10#.#36.161.64':8080
- '11#.#09.179.60':80
- '18#.#.177.210':443
- '68.##3.190.199':8080
- '14#.#39.91.187':443
TCP
Запросы HTTP GET
- http://mc####eriorismo.com/theme/Rk/
Запросы HTTP POST
- http://18#.##.252.13:443/oRxUnj7rg8iP/F4EAAZenPNLQEJ5tpvg/TIcRjS36GRWci/ via 18#.#4.252.13
- http://14#.##.173.247:8080/oX5Pw6pRrNOqQmsnVRp/I9KTVqBa/enTZ/o6BOaHJq/ via 14#.#2.173.247
- http://10#.##6.161.64:8080/UYIJh6qaO/IdyGcqT6sl/u7eSqbcPLtQek/sPUpTvSA0Ok8/ via 10#.#36.161.64
- http://11#.#09.179.60/DDOMZndetqRv/1vfePU72Srr1/JgOTptQkU/
UDP
- DNS ASK mc####eriorismo.com
Другое
Создает и запускает на исполнение
- '%HOMEPATH%\641.exe'
- '%WINDIR%\syswow64\dialer\dtsh.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABPAFYASQBGAFQAagBjAGQAPQAnAFgAUgBBAEMAUQBiAG8AawAnADsAWwBOAGUAdAAuAFMAZQByAHYAaQBjAGUAUABvAGkAbgB0AE0AYQBuAGEAZwBlAHIAXQA6ADoAIgBTAGUAQwBgAFUAcgBgAGkAVABgAFkAUAByAGAAbwBgAFQATwBDAG8AbAAiAC...' (со скрытым окном)
