Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'MojangLauncher' = '%ProgramFiles(x86)%\Mojang\Minecraft.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'mscorelib' = '"%APPDATA%\tcpsystem.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Services.exe' = '%HOMEPATH%\Services.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefoxupdate
- <SYSTEM32>\tasks\windowssecuritytaskfender
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%APPDATA%\WinCFG\Libs\WinRing0x64.sys'
Создает следующие сервисы
- 'WinRing0_1_2_0' %APPDATA%\WinCFG\Libs\WinRing0x64.sys
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
следующие пользовательские процессы:
- yaywdp.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\gsdvkn.exe
- %TEMP%\qdpzxdipuyux.exe
- %TEMP%\ufgfnooveret.exe
- %TEMP%\yaywdp.exe
- %ProgramFiles(x86)%\mojang\minecraft.exe
- %APPDATA%\tcpsystem\combofix32.exe
- %APPDATA%\windowssecuritytaskfender.exe
- %TEMP%\tmpd864.tmp.bat
- nul
- C:\temp\finalres.bat
- C:\temp\finalres.vbs
- C:\temp\finalres2.vbs
- %APPDATA%\microsoft\windows\start menu\vlcmediaplayer.exe
- %HOMEPATH%\services.exe
- %APPDATA%\wincfg\libs\winring0x64.sys
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\yaywdp.exe
Сетевая активность
TCP
- 'fu##x.de':443
- 'ra#.####ubusercontent.com':443
- 'gi##ub.com':443
- 'xm#.###l.minergate.com':45700
UDP
- DNS ASK fu##x.de
- DNS ASK ra#.####ubusercontent.com
- DNS ASK gi##ub.com
- DNS ASK do#####chme1.ddns.net
- DNS ASK do#####chme3.ddns.net
- DNS ASK xm#.###l.minergate.com
Другое
Создает и запускает на исполнение
- '%TEMP%\gsdvkn.exe'
- '%TEMP%\qdpzxdipuyux.exe'
- '%TEMP%\ufgfnooveret.exe'
- '%TEMP%\yaywdp.exe'
- '%APPDATA%\windowssecuritytaskfender.exe'
- '%APPDATA%\microsoft\windows\start menu\vlcmediaplayer.exe'
- '%HOMEPATH%\services.exe'
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /sc minute /mo 1 /tn FirefoxUpdate /tr %TEMP%\Yaywdp.exe /F' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "WindowsSecurityTaskfender" /tr '"%APPDATA%\WindowsSecurityTaskfender.exe"' & exit' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C choice /C Y /N /D Y /T 1 & Del "%TEMP%\Yaywdp.exe"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /sc minute /mo 1 /tn FirefoxUpdate /tr %TEMP%\Yaywdp.exe /F
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "WindowsSecurityTaskfender" /tr '"%APPDATA%\WindowsSecurityTaskfender.exe"' & exit
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\tmpD864.tmp.bat""
- '%WINDIR%\syswow64\schtasks.exe' /create /sc minute /mo 1 /tn FirefoxUpdate /tr %TEMP%\Yaywdp.exe /F
- '<SYSTEM32>\schtasks.exe' /create /f /sc onlogon /rl highest /tn "WindowsSecurityTaskfender" /tr '"%APPDATA%\WindowsSecurityTaskfender.exe"'
- '<SYSTEM32>\timeout.exe' 3
- '%WINDIR%\syswow64\cmd.exe' /C choice /C Y /N /D Y /T 1 & Del "%TEMP%\Yaywdp.exe"
- '%WINDIR%\syswow64\choice.exe' /C Y /N /D Y /T 1
- '<SYSTEM32>\svchost.exe' -B --coin=monero --url=xmr.pool.minergate.com:45700 --user=sh4r3cat3@outlook.de --pass= --cpu-max-threads-hint=50 --donate-level=4
- '<SYSTEM32>\taskeng.exe' {B7A4330F-C4DF-42E0-BD9C-D0C1ACCDD938} S-1-5-21-1960123792-2022915161-3775307078-1001:icusrpmdjmmy\user:Interactive:[1]
