Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\cmd.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\Microsoft\Internet Account Manager]
- [<HKLM>\Software\Microsoft\Windows Mail]
- [<HKCU>\Software\Microsoft\Windows Mail]
- [<HKCU>\Software\Microsoft\Windows Live Mail]
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook\]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012021022820210301\index.dat
- %APPDATA%\microsoft\{0425b75a-936c-d608-3d78-776ac12c9b3e}\cookie.ie\user@yandex[1].txt.ie
- %APPDATA%\microsoft\{0425b75a-936c-d608-3d78-776ac12c9b3e}\cookie.ie\user@www.msn[2].txt.ie
- %APPDATA%\microsoft\{0425b75a-936c-d608-3d78-776ac12c9b3e}\cookie.ie\user@www.bing[1].txt.ie
- %APPDATA%\microsoft\{0425b75a-936c-d608-3d78-776ac12c9b3e}\cookie.ie\user@scorecardresearch[2].txt.ie
- %APPDATA%\microsoft\{0425b75a-936c-d608-3d78-776ac12c9b3e}\cookie.ie\user@msn[2].txt.ie
- %APPDATA%\microsoft\{0425b75a-936c-d608-3d78-776ac12c9b3e}\cookie.ie\user@c.msn[1].txt.ie
- %APPDATA%\microsoft\{0425b75a-936c-d608-3d78-776ac12c9b3e}\cookie.ie\user@c.bing[1].txt.ie
- %APPDATA%\microsoft\{0425b75a-936c-d608-3d78-776ac12c9b3e}\cookie.ie\user@bing[1].txt.ie
- %APPDATA%\microsoft\{0425b75a-936c-d608-3d78-776ac12c9b3e}\sols\macromedia.com\support\flashplayer\sys\#yastatic.net\settings.sol
- %APPDATA%\microsoft\{0425b75a-936c-d608-3d78-776ac12c9b3e}\sols\macromedia.com\support\flashplayer\sys\#kiks.yandex.ru\settings.sol
- %APPDATA%\microsoft\{0425b75a-936c-d608-3d78-776ac12c9b3e}\sols\macromedia.com\support\flashplayer\sys\settings.sol
- %APPDATA%\microsoft\{0425b75a-936c-d608-3d78-776ac12c9b3e}\sols\#sharedobjects\gr8by44n\kiks.yandex.ru\fuid01.sol
- %APPDATA%\microsoft\{0425b75a-936c-d608-3d78-776ac12c9b3e}\cookie.ff\gn7ryp3k.default\cookies.sqlite.ff
- %APPDATA%\microsoft\{0425b75a-936c-d608-3d78-776ac12c9b3e}\cookie.cr\cookies.cr
- %TEMP%\47e4.bi1
- %HOMEPATH%\apimrvut.lnk
- %TEMP%\amhjdrqi.dll
- %TEMP%\res26b3.tmp
- %TEMP%\csc26b2.tmp
- %TEMP%\amhjdrqi.out
- %TEMP%\amhjdrqi.cmdline
- %TEMP%\amhjdrqi.0.cs
- %TEMP%\h3protgm.dll
- %TEMP%\res2481.tmp
- %TEMP%\csc2471.tmp
- %TEMP%\h3protgm.out
- %TEMP%\h3protgm.cmdline
- %TEMP%\h3protgm.0.cs
- %HOMEPATH%\bthsxres.ps1
- %TEMP%\2316.bin
Удаляет следующие файлы
- %TEMP%\res2481.tmp
- %TEMP%\csc2471.tmp
- %TEMP%\h3protgm.0.cs
- %TEMP%\h3protgm.out
- %TEMP%\h3protgm.cmdline
- %TEMP%\h3protgm.pdb
- %TEMP%\h3protgm.dll
- %TEMP%\res26b3.tmp
- %TEMP%\csc26b2.tmp
- %TEMP%\amhjdrqi.cmdline
- %TEMP%\amhjdrqi.0.cs
- %TEMP%\amhjdrqi.dll
- %TEMP%\amhjdrqi.out
- %TEMP%\amhjdrqi.pdb
- %TEMP%\47e4.bi1
- %TEMP%\2316.bin
Изменяет следующие файлы
- %APPDATA%\mozilla\firefox\profiles\gn7ryp3k.default\prefs.js
Самоудаляется.
Сетевая активность
Подключается к
- 'kl####soronws.xyz':80
- 'c1.microsoft.com':443
TCP
Запросы HTTP GET
- http://kl####soronws.xyz/favicon.ico
- http://kl####soronws.xyz/fallback/hVcmIn2hOx6ECEpgJaFMK5M/4ia4LAcd6M/mMkNrOOgi7GJOZXSQ/udBKZsFLFH_2/BHZHfY_2BUY/3Dc3bUW4bfMOBw/k2D9ZnKYkvaEtZL7o81sr/9osy7hWm_2FisFzz/1O2O10t6cqARQWq/h9ZvGH7QX7I...
UDP
- DNS ASK updates.microsoft.com
- DNS ASK kl####soronws.xyz
- DNS ASK re#####r1.opendns.com
- DNS ASK 22#.###.67.208.in-addr.arpa
- DNS ASK my##.#pendns.com
- DNS ASK c1.microsoft.com
Другое
Ищет следующие окна
- ClassName: 'Static' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\mshta.exe' "about:<hta:application><script>resizeTo(1,1);eval(new ActiveXObject('WScript.Shell').regread('HKCU\\\Software\\AppDataLow\\Software\\Microsoft\\294256E3-74A5-4392-C66D-E8275AF19C4B\\\BthsxRes'...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' iex ([System.Text.Encoding]::ASCII.GetString(( gp "HKCU:Software\AppDataLow\Software\Microsoft\294256E3-74A5-4392-C66D-E8275AF19C4B").AUDI9_29))' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\h3protgm.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2481.tmp" "%TEMP%\CSC2471.tmp"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\amhjdrqi.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES26B3.tmp" "%TEMP%\CSC26B2.tmp"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C ping localhost -n 5 && del "<Полный путь к файлу>"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /C pause dll mail, ,' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\mshta.exe' "about:<hta:application><script>resizeTo(1,1);eval(new ActiveXObject('WScript.Shell').regread('HKCU\\\Software\\AppDataLow\\Software\\Microsoft\\294256E3-74A5-4392-C66D-E8275AF19C4B\\\BthsxRes'...
- '<SYSTEM32>\cmd.exe' /C "echo -------- >> %TEMP%\24C4.bin1"
- '<SYSTEM32>\makecab.exe' /F "%TEMP%\2316.bin"
- '%WINDIR%\syswow64\cmd.exe' /C pause dll mail, ,
- '<SYSTEM32>\systeminfo.exe'
- '<SYSTEM32>\cmd.exe' /C "systeminfo.exe > %TEMP%\24C4.bin1"
- '<SYSTEM32>\cmd.exe' /C "echo -------- >> %TEMP%\47E4.bi1"
- '<SYSTEM32>\nslookup.exe' myip.opendns.com resolver1.opendns.com
- '<SYSTEM32>\ping.exe' localhost -n 5
- '<SYSTEM32>\cmd.exe' /C "nslookup myip.opendns.com resolver1.opendns.com > %TEMP%\47E4.bi1"
- '<SYSTEM32>\cmd.exe' /C ping localhost -n 5 && del "<Полный путь к файлу>"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES26B3.tmp" "%TEMP%\CSC26B2.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\amhjdrqi.cmdline"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2481.tmp" "%TEMP%\CSC2471.tmp"
- '%WINDIR%\microsoft.net\framework64\v2.0.50727\csc.exe' /noconfig /fullpaths @"%TEMP%\h3protgm.cmdline"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' iex ([System.Text.Encoding]::ASCII.GetString(( gp "HKCU:Software\AppDataLow\Software\Microsoft\294256E3-74A5-4392-C66D-E8275AF19C4B").AUDI9_29))
- '<SYSTEM32>\cmd.exe' /C "net view >> %TEMP%\24C4.bin1"
- '<SYSTEM32>\net.exe' view
