Техническая информация
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\rundll32.exe' C:\nuewi\neiq.auw,DllRegisterServer
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- C:\nuewi\neiq.auw
- <Текущая директория>\e3531000
- %TEMP%\6xo2lumr.0.cs
- %TEMP%\6xo2lumr.cmdline
- %TEMP%\6xo2lumr.out
- %TEMP%\csc19e6.tmp
- %TEMP%\res19f7.tmp
- %TEMP%\6xo2lumr.dll
- %TEMP%\umwgrt_y.0.cs
- %TEMP%\umwgrt_y.cmdline
- %TEMP%\umwgrt_y.out
- %TEMP%\csc1b7c.tmp
- %TEMP%\res1b8c.tmp
- %TEMP%\umwgrt_y.dll
Удаляет следующие файлы
- %TEMP%\res19f7.tmp
- %TEMP%\csc19e6.tmp
- %TEMP%\6xo2lumr.cmdline
- %TEMP%\6xo2lumr.pdb
- %TEMP%\6xo2lumr.0.cs
- %TEMP%\6xo2lumr.out
- %TEMP%\6xo2lumr.dll
- %TEMP%\res1b8c.tmp
- %TEMP%\csc1b7c.tmp
- %TEMP%\umwgrt_y.pdb
- %TEMP%\umwgrt_y.dll
- %TEMP%\umwgrt_y.0.cs
- %TEMP%\umwgrt_y.out
- %TEMP%\umwgrt_y.cmdline
Подменяет следующие файлы
- <PATH_SAMPLE>.xls
Самоудаляется.
Сетевая активность
Подключается к
- 'ui####tsppxece.com':80
- 'to###ophug.xyz':443
- 'r3.#.lencr.org':80
TCP
- 'to###ophug.xyz':443
UDP
- DNS ASK ui####tsppxece.com
- DNS ASK to###ophug.xyz
- DNS ASK r3.#.lencr.org
- DNS ASK st####.rapidssl.com
Другое
Ищет следующие окна
- ClassName: 'Static' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\rundll32.exe' C:\nuewi\neiq.auw,DllRegisterServer' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c start /min forfiles /c "cmd /k @path -ec aQBlAHgAIAAoAGcAcAAgACcASABLAEMAVQA6AFwAUwBvAGYAdAB3AGEAcgBlAFwAQwBvAGQAZQBsAGkAcwB0ACcAKQAuAEkA & exit" /p <SYSTEM32> /s /m po*l.e*e' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\6xo2lumr.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES19F7.tmp" "%TEMP%\CSC19E6.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\umwgrt_y.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1B8C.tmp" "%TEMP%\CSC1B7C.tmp"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c start /min forfiles /c "cmd /k @path -ec aQBlAHgAIAAoAGcAcAAgACcASABLAEMAVQA6AFwAUwBvAGYAdAB3AGEAcgBlAFwAQwBvAGQAZQBsAGkAcwB0ACcAKQAuAEkA & exit" /p <SYSTEM32> /s /m po*l.e*e
- '<SYSTEM32>\forfiles.exe' /c "cmd /k @path -ec aQBlAHgAIAAoAGcAcAAgACcASABLAEMAVQA6AFwAUwBvAGYAdAB3AGEAcgBlAFwAQwBvAGQAZQBsAGkAcwB0ACcAKQAuAEkA & exit" /p <SYSTEM32> /s /m po*l.e*e
- '<SYSTEM32>\cmd.exe' "<SYSTEM32>\WindowsPowerShell\v1.0\powershell.exe" -ec aQBlAHgAIAAoAGcAcAAgACcASABLAEMAVQA6AFwAUwBvAGYAdAB3AGEAcgBlAFwAQwBvAGQAZQBsAGkAcwB0ACcAKQAuAEkA & exit
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ec aQBlAHgAIAAoAGcAcAAgACcASABLAEMAVQA6AFwAUwBvAGYAdAB3AGEAcgBlAFwAQwBvAGQAZQBsAGkAcwB0ACcAKQAuAEkA
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\6xo2lumr.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES19F7.tmp" "%TEMP%\CSC19E6.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\umwgrt_y.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES1B8C.tmp" "%TEMP%\CSC1B7C.tmp"
