Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'C810.exe' = '<SYSTEM32>\C810.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'XO1XADpO01' = '"%TEMP%\D78B.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\nvngxupdatecheckdaily_{6eefbfb0-bfb0-bfb0-bfb0-6eefbfb0bfb0}
- %APPDATA%\microsoft\windows\start menu\programs\startup\c810.exe
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\000814251_video_01.avi
- <Имя диска съемного носителя>:\stoc13_ml_quoc_le.pptx
- <Имя диска съемного носителя>:\indogerman2010.pptx
- <Имя диска съемного носителя>:\gruenspecht_02172016.pptx
- <Имя диска съемного носителя>:\asaprojectcompetition.pptx
- <Имя диска съемного носителя>:\508softwareandos.doc
- <Имя диска съемного носителя>:\february_catalogue__2015.doc
- <Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
- <Имя диска съемного носителя>:\cveuropeo.doc
- <Имя диска съемного носителя>:\utorrent.exe
- <Имя диска съемного носителя>:\ovp25012015.doc
- <Имя диска съемного носителя>:\sdkfailsafeemulator.cer
- <Имя диска съемного носителя>:\contosoroot_1.cer
- <Имя диска съемного носителя>:\pmd.cer
- <Имя диска съемного носителя>:\dashborder_96.bmp
- <Имя диска съемного носителя>:\tileimage.bmp
- <Имя диска съемного носителя>:\dashborder_192.bmp
- <Имя диска съемного носителя>:\archer.avi
- <Имя диска съемного носителя>:\restore-my-files.txt
- <Имя диска съемного носителя>:\testee.cer
- <Имя диска съемного носителя>:\wrar520.exe
Вредоносные функции
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\d47f.tmp
- %APPDATA%\wvbbceh
- %APPDATA%\idbufbd
- %TEMP%\bf49.exe
- C:\anydesk.exe
- C:\curl.exe
- C:\swap.cmd
- %TEMP%\c810.exe
- %TEMP%\d78b.exe
- <SYSTEM32>\c810.exe
- %PROGRAMDATA%\microsoft\windows\start menu\programs\startup\c810.exe
- %TEMP%\fdd1.exe
- D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.id-11247a1b.[telegram_@spacedatax].roger
- D:\install.log.id-11247a1b.[telegram_@spacedatax].roger
- C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.id-11247a1b.[telegram_@spacedatax].roger
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\wvbbceh
- %APPDATA%\idbufbd
- D:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.id-11247a1b.[telegram_@spacedatax].roger
- C:\$recycle.bin\s-1-5-21-1960123792-2022915161-3775307078-1001\desktop.ini.id-11247a1b.[telegram_@spacedatax].roger
Перемещает следующие файлы
- C:\anydesk.exe в C:\anydesk.exe.id-11247a1b.[telegram_@spacedatax].roger
- C:\curl.exe в C:\curl.exe.id-11247a1b.[telegram_@spacedatax].roger
Подменяет следующие файлы
- C:\anydesk.exe
Самоудаляется.
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Сетевая активность
TCP
Запросы HTTP GET
- http://dz####erv437.xyz/desk.exe
- http://dz####erv437.xyz/lkx111.exe
- http://dz####erv437.xyz/lb777.exe
- http://dz####erv437.xyz/socks111.exe
Запросы HTTP POST
- http://at###ot20x.xyz/statweb955/
UDP
- DNS ASK re###at35x.xyz
- DNS ASK de###ot2x.xyz
- DNS ASK at###ot20x.xyz
- DNS ASK dz####erv437.xyz
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\bf49.exe'
- '%TEMP%\c810.exe'
- '%TEMP%\d78b.exe'
- 'C:\anydesk.exe' --install c:\anydesk --silent
- '%TEMP%\fdd1.exe'
- '<SYSTEM32>\cmd.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\swap.cmd" "
- '<SYSTEM32>\cmd.exe'
