Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\msrd2x40] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\msrd2x40] 'ImagePath' = '"%WINDIR%\SysWOW64\dpnlobby\msrd2x40.exe"'
Создает следующие сервисы
- 'msrd2x40' "%WINDIR%\SysWOW64\dpnlobby\msrd2x40.exe"
- 'msrd2x40' %WINDIR%\SysWOW64\dpnlobby\msrd2x40.exe
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABYAHEAeQB4AGYAcwB2AD0AKAAnAE4ANQAnACsAJwBjAGEAYwB2ADgAJwApADsAJgAoACcAbgBlAHcALQAnACsAJwBpAHQAZQAnACsAJwBtACcAKQAgACQARQBOAHYAOgBUAGUAbQBwAFwATwBmAEYAaQBjAGUAMgAwADEAOQAgAC0AaQB0AGUAbQB0AH...
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\office2019\ojrv0x9y.exe
Перемещает следующие файлы
- %TEMP%\office2019\ojrv0x9y.exe в %WINDIR%\syswow64\dpnlobby\msrd2x40.exe
Сетевая активность
Подключается к
- '17#.#4.215.84':80
- '85.##.207.108':8080
- '17#.#28.14.92':8080
- '60.##5.114.64':443
- '18#.#26.54.234':80
- '15#.#.164.178':8081
- '95.##6.205.155':8080
- '21#.#5.37.196':8080
TCP
Запросы HTTP GET
- http://b3##op.net/calendar/LgZgcv/
- http://ma####ne-lib.com/wp-content/3nng7e9a6b416342/
- http://no#####mentjuices.com/wp-content/mkyecobz2597/
UDP
- DNS ASK b3##op.net
- DNS ASK ma####ne-lib.com
- DNS ASK no#####mentjuices.com
Другое
Создает и запускает на исполнение
- '%TEMP%\office2019\ojrv0x9y.exe'
- '%WINDIR%\syswow64\dpnlobby\msrd2x40.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABYAHEAeQB4AGYAcwB2AD0AKAAnAE4ANQAnACsAJwBjAGEAYwB2ADgAJwApADsAJgAoACcAbgBlAHcALQAnACsAJwBpAHQAZQAnACsAJwBtACcAKQAgACQARQBOAHYAOgBUAGUAbQBwAFwATwBmAEYAaQBjAGUAMgAwADEAOQAgAC0AaQB0AGUAbQB0AH...' (со скрытым окном)
