Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\idle
- <SYSTEM32>\tasks\taskhost
- <SYSTEM32>\tasks\explorer
- <SYSTEM32>\tasks\system
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %HOMEPATH%\desktop\508softwareandos.doc
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\hanni_umami_chapter.doc
- %HOMEPATH%\desktop\holycrosschurchinstructions.docx
Изменения в файловой системе
Создает следующие файлы
- C:\perflogs\admin\idle.exe
- %TEMP%\cv81hhk9vv
- %TEMP%\i7jiod9j4f
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %TEMP%\wkplgzdalj
- %TEMP%\7vtpsrpj0i
- %TEMP%\ald3f1nzps
- %TEMP%\2eoecqc9uh
- %TEMP%\pcda6plnjf
- %TEMP%\ozh84s4nal
- %TEMP%\lcilvz61xf
- %TEMP%\pz4yks9xn7
- %TEMP%\0gmotdah4j
- %TEMP%\0znusltqd6
- %TEMP%\fgp7boonoz
- %ALLUSERSPROFILE%\favorites\27d1bcfc3c54e0e44ea423ffd4ee81fe73670a2a
- %ALLUSERSPROFILE%\favorites\system.exe
- C:\msocache\all users\{90140000-0044-0409-1000-0000000ff1ce}-c\6ccacd8608530fba3a93e87ae2225c7032aa18c1
- C:\msocache\all users\{90140000-0044-0409-1000-0000000ff1ce}-c\idle.exe
- %ALLUSERSPROFILE%\documents\7a0fd90576e08807bde2cc57bcf9854bbce05fe3
- %ALLUSERSPROFILE%\documents\explorer.exe
- %CommonProgramFiles(x86)%\b75386f1303e64d8139363b71e44ac16341adf4e
- %CommonProgramFiles(x86)%\taskhost.exe
- C:\perflogs\admin\6ccacd8608530fba3a93e87ae2225c7032aa18c1
- %TEMP%\w8folk2zjh
- %TEMP%\xnoftavvbo
Удаляет следующие файлы
- %TEMP%\fgp7boonoz
- %TEMP%\0znusltqd6
- %TEMP%\0gmotdah4j
- %TEMP%\w8folk2zjh
- %TEMP%\pz4yks9xn7
- %TEMP%\ozh84s4nal
- %TEMP%\pcda6plnjf
- %TEMP%\2eoecqc9uh
- %TEMP%\ald3f1nzps
- %TEMP%\7vtpsrpj0i
- %TEMP%\wkplgzdalj
- %TEMP%\i7jiod9j4f
- %TEMP%\cv81hhk9vv
- %TEMP%\lcilvz61xf
- %TEMP%\xnoftavvbo
Сетевая активность
Подключается к
- '19#.#6.114.192':80
- 'ip##fo.io':443
TCP
Запросы HTTP GET
- http://19#.#6.114.192/pdzrtma6kjf2bw6yydg31jkb9h/ow26bmsr0br4utd3gtjex31c/7d0b15d8470eb5ee7aee249d6596c6e6e202e194.php?BJ########################################################################...
- http://19#.#6.114.192/pdzrtma6kjf2bw6yydg31jkb9h/ow26bmsr0br4utd3gtjex31c/ppjda0e613y5wxgteymy22ch07gt3fsaf0z87sd9zmw1b6c94h56pvn8rb72ujuzq8/c74c2896a52c132b3127a7ede5c19419.php?BJ#############...
UDP
- DNS ASK ip##fo.io
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\favorites\system.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "Idle" /sc ONLOGON /tr "'C:\PerfLogs\Admin\Idle.exe'" /rl HIGHEST /f
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'%CommonProgramFiles(x86)%\taskhost.exe'" /rl HIGHEST /f
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "explorer" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Documents\explorer.exe'" /rl HIGHEST /f
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "Idle" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-0044-0409-1000-0000000FF1CE}-C\Idle.exe'" /rl HIGHEST /f
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "System" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Favorites\System.exe'" /rl HIGHEST /f
