Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\wininit
- <SYSTEM32>\tasks\lsm
- <SYSTEM32>\tasks\dwm
- <SYSTEM32>\tasks\winlogon
- <SYSTEM32>\tasks\smss
- <SYSTEM32>\tasks\spoolsv
- <SYSTEM32>\tasks\sessionnet
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
- Системный антивирус (Защитник Windows)
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\8ce36cc7-bb08-442a-8485-dc30afeebcbb\agiledotnetrtsdfg64.dll
- %ProgramFiles%\iamserv\lsm.exe
- %ProgramFiles%\iamserv\101b941d020240259ca4912829b53995ad543df6
- C:\users\default\application data\dwm.exe
- C:\users\default\application data\6cb0b6c459d5d3455a3da700e713f2e2529862ff
- C:\msocache\all users\winlogon.exe
- C:\msocache\all users\cc11b995f2a76da408ea6a601e682e64743153ad
- %ALLUSERSPROFILE%\microsoft help\smss.exe
- %ALLUSERSPROFILE%\microsoft help\69ddcba757bf72f7d36c464c71f42baab150b2b9
- <Текущая директория>\spoolsv.exe
- <Текущая директория>\f3b6ecef712a24f33798f5d2fb3790c3d9b894c4
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\sessionnet.exe
- C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\0abd9c8103799f26674fb9ae8bb61af21e589357
- %TEMP%\xf1bt2o0s0
- %WINDIR%\bitlockerdiscoveryvolumecontents\wininit.exe
- %WINDIR%\bitlockerdiscoveryvolumecontents\560854153607923c4c5f107085a7db67be01f252
- %TEMP%\img5jq82yf
- %TEMP%\mloamifp4l
- %TEMP%\4k4sthswr8
- %TEMP%\fzsd7ywmfk
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- C:\users\public\wjj9aet2.default\key3.db
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %TEMP%\kcow0uzcds
- %TEMP%\4y7iwoirg3
- %TEMP%\kgiit3rvea
- %TEMP%\wtu2oc2am4
- %TEMP%\cz4qrw4bzx
- %TEMP%\s5qwzhonoj
- %TEMP%\dpswn2ynbc
- C:\saveshost\ngfk1mwopryyybxpnrykdfy0krpbkh.vbe
- C:\saveshost\sessionnet.exe
- C:\saveshost\fzg2hg4kinehhngwj1zeqhkvrmnkwf.bat
- %TEMP%\f77fc628-faa3-49cf-b40c-4aa728d3e9c0\mongol.dll
- %TEMP%\vd6jvjyfkyqzikuhqfi.exe
- %TEMP%\07ad4d59-2a8b-44a2-b1bc-eee4e995eadb\protectrust.dll
- %TEMP%\tmp45e5.tmp.tmpdb
- %TEMP%\tmp4672.tmp.tmpdb
- %APPDATA%\exportfiles\telegram\d877f783d5d3ef8c\map0
- %APPDATA%\exportfiles\telegram\settings0
- %APPDATA%\exportfiles\telegram\usertag
- %TEMP%\tmp4700.tmp.dat
- %TEMP%\tmp474f.tmp.dat
- %TEMP%\tmp475f.tmp.dat
- %TEMP%\tmp4770.tmp.dat
- %APPDATA%\exportfiles\browsers\cookies_google(88).txt
- %TEMP%\tmp4790.tmp.dat
- %TEMP%\pxous6dcwjlu6zr7sb.exe
- %TEMP%\tmp4791.tmp.dat
- C:\saveshost\rlbqubldyypasx8b9vmyljtcaarm3v.bat
- %TEMP%\tmp47a2.tmp.dat
- %TEMP%\tmp47e1.tmp.dat
- %APPDATA%\exportfiles\browsers\cookies_opera(84).txt
- %APPDATA%\exportfiles\browsers\opera\bookmarks.txt
- C:\users\public\gn7ryp3k.default\key3.db
- %TEMP%\tmp48cc.tmp.tmpdb
- %TEMP%\ybn9guowr5
- %TEMP%\tmp48dd.tmp.tmpdb
- %TEMP%\eyswbdl7bl
- %APPDATA%\exportfiles\process.txt
- %APPDATA%\exportfiles\information.txt
- %TEMP%\bov.exe
- C:\saveshost\7lr3ozgdxsv2vqbehcyt.exe
- C:\saveshost\z7usvbqbdorat6phlpmp7mlsqvtrym.vbe
- %APPDATA%\exportfiles\screen.png
- %TEMP%\avakxvkuyc
Удаляет следующие файлы
- %TEMP%\pxous6dcwjlu6zr7sb.exe
- %TEMP%\4k4sthswr8
- %TEMP%\fzsd7ywmfk
- %TEMP%\ybn9guowr5
- %TEMP%\kcow0uzcds
- %TEMP%\4y7iwoirg3
- %TEMP%\kgiit3rvea
- %TEMP%\wtu2oc2am4
- %TEMP%\cz4qrw4bzx
- %TEMP%\s5qwzhonoj
- %TEMP%\dpswn2ynbc
- %TEMP%\mloamifp4l
- %TEMP%\img5jq82yf
- %TEMP%\xf1bt2o0s0
- %TEMP%\bov.exe
- %TEMP%\vd6jvjyfkyqzikuhqfi.exe
- %TEMP%\tmp48dd.tmp.tmpdb
- %TEMP%\tmp48cc.tmp.tmpdb
- %TEMP%\tmp47e1.tmp.dat
- %TEMP%\tmp47a2.tmp.dat
- %TEMP%\tmp4791.tmp.dat
- %TEMP%\tmp4790.tmp.dat
- %TEMP%\tmp4770.tmp.dat
- %TEMP%\tmp475f.tmp.dat
- %TEMP%\tmp474f.tmp.dat
- %TEMP%\tmp4700.tmp.dat
- %TEMP%\tmp4672.tmp.tmpdb
- %TEMP%\tmp45e5.tmp.tmpdb
- %TEMP%\eyswbdl7bl
- %TEMP%\avakxvkuyc
Сетевая активность
Подключается к
- 'fr###eoip.app':443
- '21#.#09.194.13':80
- 'ip##fo.io':443
TCP
Запросы HTTP GET
- http://21#.#09.194.13/ntx0spl9peizrdsx2hz30hh2m7rl15iqic63i8uwf0feyy169n5gz69oms76yambr8qaz8csjvoufpgj2n/voituleca4clfhv97u5p2rxxeb6w1ibjt2go34a/2ddff3d425a88d04dc01df5e3ac224488aee2ae3.php?oj#...
- http://21#.#09.194.13/ntx0spl9peizrdsx2hz30hh2m7rl15iqic63i8uwf0feyy169n5gz69oms76yambr8qaz8csjvoufpgj2n/voituleca4clfhv97u5p2rxxeb6w1ibjt2go34a/hwn4qvffrl6isk5mr0z1vrsudfxpao6l2pcvlmk66i9teuy6...
UDP
- DNS ASK fr###eoip.app
- DNS ASK ip##fo.io
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\pxous6dcwjlu6zr7sb.exe'
- '%TEMP%\vd6jvjyfkyqzikuhqfi.exe'
- '%TEMP%\bov.exe'
- '%WINDIR%\syswow64\wscript.exe' "C:\saveshost\Z7uSvBQBdOraT6phlpMP7mLSqvtryM.vbe"
- 'C:\saveshost\7lr3ozgdxsv2vqbehcyt.exe' -p8dbd25f59311f5f64d885d89488b319c2e957658
- '%WINDIR%\syswow64\wscript.exe' "C:\saveshost\NGFk1mWopryyybxpnRyKdFY0KRpBKH.vbe"
- 'C:\saveshost\sessionnet.exe'
- 'C:\recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\sessionnet.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\saveshost\RLBqubLdyYpASx8b9vMYLJTCaarm3v.bat" "' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\saveshost\FZg2Hg4kINeHHNgWJ1ZeqHKVRMNKwF.bat" "' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Get-MpPreference -verbose
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\saveshost\RLBqubLdyYpASx8b9vMYLJTCaarm3v.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\saveshost\FZg2Hg4kINeHHNgWJ1ZeqHKVRMNKwF.bat" "
- '<SYSTEM32>\schtasks.exe' /create /tn "wininit" /sc ONLOGON /tr "'%WINDIR%\BitLockerDiscoveryVolumeContents\wininit.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "lsm" /sc ONLOGON /tr "'%ProgramFiles%\iamserv\lsm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dwm" /sc ONLOGON /tr "'C:\Users\Default\Application Data\dwm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc ONLOGON /tr "'C:\MSOCache\All Users\winlogon.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "smss" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Microsoft Help\smss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "spoolsv" /sc ONLOGON /tr "'<Текущая директория>\spoolsv.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "sessionnet" /sc ONLOGON /tr "'C:\Recovery\1195d5a8-f371-11e4-9c00-dd3082671db2\sessionnet.exe'" /rl HIGHEST /f
- '%WINDIR%\syswow64\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /v DisableTaskMgr /t REG_DWORD /d 1 /f
