Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\SYSTEM\CurrentControlSet\Services\Main Service] 'Start' = '00000002'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\Main Service] 'ImagePath' = '%ProgramFiles(x86)%\MachinerData\mWisCopy.exe 1'
Создает следующие сервисы
- 'Main Service' %ProgramFiles(x86)%\MachinerData\mWisCopy.exe 1
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-v8oei.tmp\<Имя файла>.tmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-f2b02.tmp
- %ProgramFiles(x86)%\twis copy\is-0an2i.tmp
- %ProgramFiles(x86)%\twis copy\is-hr006.tmp
- %ProgramFiles(x86)%\twis copy\is-35jak.tmp
- %ProgramFiles(x86)%\twis copy\is-rmte3.tmp
- %ProgramFiles(x86)%\twis copy\is-ci7bn.tmp
- %ProgramFiles(x86)%\twis copy\is-n6lt1.tmp
- %ProgramFiles(x86)%\twis copy\is-ff0df.tmp
- %ProgramFiles(x86)%\machinerdata\mwiscopy.exe
- %WINDIR%\is-jf4rh.tmp
- %ProgramFiles(x86)%\twis copy\help\is-00ib3.tmp
- %ProgramFiles(x86)%\twis copy\is-dsi76.tmp
- %WINDIR%\syswow64\is-dn7qt.tmp
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\twis copy\twis copy.lnk
- %ProgramFiles(x86)%\twis copy\windvdcopy.url
- %ProgramFiles(x86)%\twis copy\unins000.dat
- %ProgramFiles(x86)%\twis copy\skins\0\is-u17fk.tmp
- %ProgramFiles(x86)%\twis copy\is-adn5t.tmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-0q8pp.tmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-3ao2m.tmp
- %TEMP%\is-0mcv8.tmp\_isetup\_setup64.tmp
- %TEMP%\is-0mcv8.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-0mcv8.tmp\_isetup\_isdecmp.dll
- %TEMP%\is-0mcv8.tmp\_isetup\_iscrypt.dll
- %ProgramFiles(x86)%\twis copy\is-rhui7.tmp
- %ProgramFiles(x86)%\twis copy\language\is-mphh9.tmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-6svdq.tmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-acrae.tmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-58fqk.tmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-5grdc.tmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-k8j9b.tmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-q77nd.tmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-8i790.tmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-rlbp4.tmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-n2c33.tmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-2n6j4.tmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-bbtk9.tmp
- %WINDIR%\appcompat\programs\install\install_0001_d9661aed-b3e0-415f-9c79-385b50296cb1.txt
Перемещает следующие файлы
- %ProgramFiles(x86)%\twis copy\is-rhui7.tmp в %ProgramFiles(x86)%\twis copy\unins000.exe
- %ProgramFiles(x86)%\twis copy\help\is-00ib3.tmp в %ProgramFiles(x86)%\twis copy\help\winavi dvd copy help.chm
- %WINDIR%\is-jf4rh.tmp в %WINDIR%\windvdbootrecdoe.sys
- %ProgramFiles(x86)%\twis copy\is-ff0df.tmp в %ProgramFiles(x86)%\twis copy\readme.txt
- %ProgramFiles(x86)%\twis copy\is-adn5t.tmp в %ProgramFiles(x86)%\twis copy\videoburn.dll
- %ProgramFiles(x86)%\twis copy\is-n6lt1.tmp в %ProgramFiles(x86)%\twis copy\fileio.dll
- %ProgramFiles(x86)%\twis copy\is-ci7bn.tmp в %ProgramFiles(x86)%\twis copy\aspi.dll
- %ProgramFiles(x86)%\twis copy\is-rmte3.tmp в %ProgramFiles(x86)%\twis copy\dvdcopy.dll
- %ProgramFiles(x86)%\twis copy\is-35jak.tmp в %ProgramFiles(x86)%\twis copy\core.dll
- %ProgramFiles(x86)%\twis copy\is-hr006.tmp в %ProgramFiles(x86)%\twis copy\dvd2one.dll
- %ProgramFiles(x86)%\twis copy\is-0an2i.tmp в %ProgramFiles(x86)%\twis copy\mpeg2videotranslator.dll
- %ProgramFiles(x86)%\twis copy\skins\0\is-f2b02.tmp в %ProgramFiles(x86)%\twis copy\skins\0\animation.gif
- %ProgramFiles(x86)%\twis copy\skins\0\is-u17fk.tmp в %ProgramFiles(x86)%\twis copy\skins\0\copynow.bmp
- %ProgramFiles(x86)%\twis copy\is-dsi76.tmp в %ProgramFiles(x86)%\twis copy\mwiscopy.exe
- %ProgramFiles(x86)%\twis copy\skins\0\is-0q8pp.tmp в %ProgramFiles(x86)%\twis copy\skins\0\setting.bmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-58fqk.tmp в %ProgramFiles(x86)%\twis copy\skins\0\down.bmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-2n6j4.tmp в %ProgramFiles(x86)%\twis copy\skins\0\wizard.bmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-n2c33.tmp в %ProgramFiles(x86)%\twis copy\skins\0\splash.bmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-rlbp4.tmp в %ProgramFiles(x86)%\twis copy\skins\0\min.bmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-8i790.tmp в %ProgramFiles(x86)%\twis copy\skins\0\menu.bmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-q77nd.tmp в %ProgramFiles(x86)%\twis copy\skins\0\help.bmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-k8j9b.tmp в %ProgramFiles(x86)%\twis copy\skins\0\close.bmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-5grdc.tmp в %ProgramFiles(x86)%\twis copy\skins\0\web.bmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-acrae.tmp в %ProgramFiles(x86)%\twis copy\skins\0\buynow.bmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-3ao2m.tmp в %ProgramFiles(x86)%\twis copy\skins\0\background.bmp
- %ProgramFiles(x86)%\twis copy\skins\0\is-6svdq.tmp в %ProgramFiles(x86)%\twis copy\skins\0\skin.ini
- %ProgramFiles(x86)%\twis copy\language\is-mphh9.tmp в %ProgramFiles(x86)%\twis copy\language\english.ini
- %ProgramFiles(x86)%\twis copy\skins\0\is-bbtk9.tmp в %ProgramFiles(x86)%\twis copy\skins\0\select.bmp
- %WINDIR%\syswow64\is-dn7qt.tmp в %WINDIR%\syswow64\sqlite3.dll
Подменяет следующие файлы
- %ProgramFiles%\UNP\Logs\UpdateNotificationPipeline.001.etl
Сетевая активность
TCP
- 'ma#####amenameper.club':443
UDP
- DNS ASK ma#####amenameper.club
- DNS ASK go.microsoft.com
- DNS ASK settings-win.data.microsoft.com
- DNS ASK share.microsoft.com
- DNS ASK maps.windows.com
- DNS ASK dl.delivery.mp.microsoft.com
Другое
Ищет следующие окна
- ClassName: 'BE20112D-E453-11D1-945A-0C04FB9804F9' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-v8oei.tmp\<Имя файла>.tmp' /SL5="$F0258,4176827,211456,<Полный путь к файлу>"
- '%ProgramFiles(x86)%\twis copy\mwiscopy.exe'
- '%ProgramFiles(x86)%\twis copy\mwiscopy.exe' 4
- '%ProgramFiles(x86)%\machinerdata\mwiscopy.exe' 1
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 /n 300 & "%ProgramFiles(x86)%\tWis Copy\mWisCopy.exe" 6' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 100 & "%ProgramFiles(x86)%\tWis Copy\mWisCopy.exe" 5' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 & "%ProgramFiles(x86)%\tWis Copy\mWisCopy.exe" 4' (со скрытым окном)
- '%ProgramFiles(x86)%\machinerdata\main.exe' 2' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\devicecensus.exe' UserCxt
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 /n 300 & "%ProgramFiles(x86)%\tWis Copy\mWisCopy.exe" 6
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 -n 100 & "%ProgramFiles(x86)%\tWis Copy\mWisCopy.exe" 5
- '%WINDIR%\syswow64\cmd.exe' /C ping 127.0.0.1 & "%ProgramFiles(x86)%\tWis Copy\mWisCopy.exe" 4
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 /n 300
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 100
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1
- '<SYSTEM32>\compattelrunner.exe' -m:aeinv.dll -f:UpdateSoftwareInventoryW
