Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\conhost
- <SYSTEM32>\tasks\csrss
- <SYSTEM32>\tasks\dwm
- <SYSTEM32>\tasks\taskhost
- <SYSTEM32>\tasks\audiodg
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\717224840.exe
- C:\msocache\all users\{90140000-00a1-0409-1000-0000000ff1ce}-c\42af1c969fbb7b2ae36b0e06bea61fc9a154b4af
- C:\msocache\all users\{90140000-00a1-0409-1000-0000000ff1ce}-c\audiodg.exe
- C:\far2\fexcept\b75386f1303e64d8139363b71e44ac16341adf4e
- C:\far2\fexcept\taskhost.exe
- C:\brokerruntime\6cb0b6c459d5d3455a3da700e713f2e2529862ff
- C:\brokerruntime\dwm.exe
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\886983d96e3d3e31032c679b2d4ea91b6c05afef
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\csrss.exe
- C:\documents and settings\088424020bedd6b28ac7fd22ee35dcd7322895ce
- C:\documents and settings\conhost.exe
- C:\brokerruntime\6k4iz0wz7mopplypexv8lwqkezlgwh.vbe
- C:\brokerruntime\reviewhost.exe
- C:\brokerruntime\yrx1ig10wugtlht8vnxwgtghntynqk.bat
- C:\brokerruntime\mrlpjmjm8msseqxd7jafrfo3pp2nn2.bat
- C:\brokerruntime\7ad9wk1bluoh8ts8tiph1huq01vwcu.vbe
- C:\brokerruntime\knhp350xytrlydrblhxl.exe
- %TEMP%\494818992.exe
- %ALLUSERSPROFILE%\application data\dwm.exe
- %ALLUSERSPROFILE%\application data\6cb0b6c459d5d3455a3da700e713f2e2529862ff
Сетевая активность
Подключается к
- 's6#.#ldov.ru':443
- 'a.###ganfor.ru':443
- 'x9####yc.beget.tech':80
TCP
Запросы HTTP GET
- http://x9####yc.beget.tech/l48ndrlh6rwr280yn28mebqo9vf1ywe3wx3sdhjuou618dz77oyzp52ktiiavqkq5mu855a0q3nxvin5/h71x9c9u3ofasvoad7tgh136s3krju/d872707db3fe650df7731a214d5463f386ca5c10.php?ru#######...
UDP
- DNS ASK s6#.#ldov.ru
- DNS ASK a.###ganfor.ru
- DNS ASK x9####yc.beget.tech
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\717224840.exe'
- '%TEMP%\494818992.exe'
- '%WINDIR%\syswow64\wscript.exe' "C:\brokerruntime\7AD9Wk1bLUoH8ts8TiPh1Huq01vWCU.vbe"
- 'C:\brokerruntime\knhp350xytrlydrblhxl.exe' -p1d8446cd6f05cb59f5e6b293720dc449b5971aef
- '%WINDIR%\syswow64\wscript.exe' "C:\brokerruntime\6k4iZ0wZ7MoPPlyPeXV8LWQKeZlGWh.vbe"
- 'C:\brokerruntime\reviewhost.exe'
- '%ALLUSERSPROFILE%\application data\dwm.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\brokerruntime\mrlpjMJm8MSsEQxD7jaFRFO3PP2nn2.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\brokerruntime\YRX1IG10WuGtlht8VnXWgtghNTyNqK.bat" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\brokerruntime\mrlpjMJm8MSsEQxD7jaFRFO3PP2nn2.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\brokerruntime\YRX1IG10WuGtlht8VnXWgtghNTyNqK.bat" "
- '<SYSTEM32>\schtasks.exe' /create /tn "conhost" /sc ONLOGON /tr "'C:\Documents and Settings\conhost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'C:\brokerruntime\dwm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'C:\Far2\FExcept\taskhost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "audiodg" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-00A1-0409-1000-0000000FF1CE}-C\audiodg.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Application Data\dwm.exe'" /rl HIGHEST /f
