Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\h-6-6-60-1143192757-1004332321-1353627432-7467\{e7a79up-7v74-tda6-m1xr-h2kiaun5ft1c}
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /F /PID "1252"
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\fb_a1ab.tmp.dll
- %TEMP%\tempdatabase2020-09-15t17_47_31.0556000-07_001717
- %TEMP%\tempdatabase2020-09-15t17_47_30.9932000-07_001212
- %TEMP%\tempdatabase2020-09-15t17_47_28.2320000-07_001212
- %TEMP%\tempdatabase2020-09-15t17_47_27.2024000-07_001616
- %TEMP%\tempdatabase2020-09-15t17_47_27.1868000-07_001616
- %TEMP%\tempdatabase2020-09-15t17_47_27.1712000-07_001616
- %TEMP%\tempdatabase2020-09-15t17_47_17.3744000-07_001515
- %TEMP%\tempdatabase2020-09-15t17_47_11.4932000-07_001515
- %TEMP%\tempdatabase2020-09-15t17_47_10.6820000-07_001515
- %TEMP%\tempdatabase2020-09-15t17_47_05.2064000-07_001616
- %TEMP%\tempdatabase2020-09-15t17_47_05.4248000-07_001212
- %TEMP%\tempdatabase2020-09-15t17_47_05.1908000-07_001515
- %TEMP%\tempdatabase2020-09-15t17_46_54.1616000-07_001212
- %ALLUSERSPROFILE%\mntemp
- %TEMP%\fb_a577.tmp.exe
- %TEMP%\fb_a4f9.tmp.exe
- %TEMP%\fb_a47b.tmp.exe
- %TEMP%\fb_a352.tmp.exe
- %TEMP%\fb_a2d4.tmp.dll
- %TEMP%\tempdatabase2020-09-15t17_47_35.4704000-07_001717
- %TEMP%\remove.bat
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\certificates\sfxsv32.exe
Удаляет следующие файлы
- %TEMP%\fb_a577.tmp.exe
Перемещает следующие файлы
- %TEMP%\fb_a4f9.tmp.exe в %APPDATA%\certificates\sfxsv32.exe
Сетевая активность
TCP
Запросы HTTP GET
- http://ip##pi.com/xml
- http://51.##.36.150:2012/websocket via 51.##.36.150
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
UDP
- DNS ASK bi##ex.com
- DNS ASK ip##pi.com
- DNS ASK g.###.mega.co.nz
- DNS ASK microsoft.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\fb_a352.tmp.exe'
- '%TEMP%\fb_a47b.tmp.exe'
- '%TEMP%\fb_a4f9.tmp.exe'
- '%TEMP%\fb_a577.tmp.exe'
- '%APPDATA%\certificates\sfxsv32.exe'
- '%WINDIR%\syswow64\cmd.exe' /c icacls "%APPDATA%\Certificates" /inheritance:e /deny "*S-1-1-0:(R,REA,RA,RD)" & icacls "%APPDATA%\Certificates" /inheritance:e /deny "*S-1-5-7:(R,REA,RA,RD)" & icacls "%APPDATA%\Certificates...' (со скрытым окном)
- '%APPDATA%\certificates\sfxsv32.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Remove.bat" "1252" "%TEMP%\FB_A577.tmp.exe""' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c icacls "%APPDATA%\Certificates" /inheritance:e /deny "*S-1-1-0:(R,REA,RA,RD)" & icacls "%APPDATA%\Certificates" /inheritance:e /deny "*S-1-5-7:(R,REA,RA,RD)" & icacls "%APPDATA%\Certificates...
- '<SYSTEM32>\taskeng.exe' {6F184CEA-7FDC-47EE-84DC-AECFC1B0A50E} S-1-5-21-1960123792-2022915161-3775307078-1001:dydfgchg\user:Interactive:[1]
- '%WINDIR%\syswow64\icacls.exe' "%APPDATA%\Certificates" /inheritance:e /deny "*S-1-1-0:(R,REA,RA,RD)"
- '%WINDIR%\syswow64\icacls.exe' "%APPDATA%\Certificates" /inheritance:e /deny "*S-1-5-7:(R,REA,RA,RD)"
- '%WINDIR%\syswow64\icacls.exe' "%APPDATA%\Certificates" /inheritance:e /deny "user:(R,REA,RA,RD)"
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Remove.bat" "1252" "%TEMP%\FB_A577.tmp.exe""
- '%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 3
