Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'FkSzMGrbc7ZQ6w3i7lwjoeeMeH55nw5f' = '<Полный путь к файлу>'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'QtQKerghVKvypC4Mrv0NYvCEdD12fz8O' = '%HOMEPATH%\Documents\A4E9OEPADViztfKamU9R6raQ.exe'
- [<HKCU>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'MgowxFgVyBditWvkZxkL1N1fqMqazoBg' = '%HOMEPATH%\Documents\ogmAwm2kuPOsk9N1fzy9LtBd.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '-1-5-21-1960123792-202' = '%LOCALAPPDATA%\z_user\user.vbs'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\29874.exe
- <SYSTEM32>\tasks\maintenance
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\ehstorauthn.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\documents\a4e9oepadviztfkamu9r6raq.exe
- %TEMP%\{h97h-lc9mv-71ce-bzec3}\71686919814.exe
- %HOMEPATH%\documents\ogmawm2kuposk9n1fzy9ltbd.exe
- %LOCALAPPDATA%\z_user\wallpaper.mp4
- %LOCALAPPDATA%\z_user\user.vbs
- %LOCALAPPDATA%\z_user\user.bat
- %APPDATA%\del.bat
- %ALLUSERSPROFILE%\filedl670.exe
- %TEMP%\{h97h-lc9mv-71ce-bzec3}\22570713347.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\microsoft\windows\start menu\programs\startup\29874.exe
Удаляет следующие файлы
- %HOMEPATH%\documents\ogmawm2kuposk9n1fzy9ltbd.exe
Сетевая активность
Подключается к
- 'ip###ger.org':443
- 'wh###tis.site':80
- 'microsoft.com':80
- 'gc##an.in':80
- 'ka###ja09.top':80
- 'fo####measap13.top':443
- 'cd#.##scordapp.com':443
- '20#.#59.80.228':80
- 'ip###ger.org':80
- 'we###est.xyz':80
TCP
Запросы HTTP GET
- http://gc##an.in/stats/remember.php?pu###################
- http://gc##an.in/dlc/distribution.php?pu#########
Запросы HTTP POST
- http://20#.#59.80.228/Saint/gate.php
UDP
- DNS ASK wh###tis.site
- DNS ASK ip###ger.org
- DNS ASK microsoft.com
- DNS ASK gc##an.in
- DNS ASK ka###ja09.top
- DNS ASK te##te.in
- DNS ASK fo####measap13.top
- DNS ASK cd#.##scordapp.com
- DNS ASK we###est.xyz
Другое
Создает и запускает на исполнение
- '%HOMEPATH%\documents\a4e9oepadviztfkamu9r6raq.exe'
- '%TEMP%\{h97h-lc9mv-71ce-bzec3}\71686919814.exe'
- '%HOMEPATH%\documents\ogmawm2kuposk9n1fzy9ltbd.exe'
- '%APPDATA%\microsoft\windows\start menu\programs\startup\29874.exe'
- '%ALLUSERSPROFILE%\filedl670.exe'
- '%TEMP%\{h97h-lc9mv-71ce-bzec3}\22570713347.exe' /mix
- '%WINDIR%\syswow64\cmd.exe' /c start /I "" "%TEMP%\{h97h-Lc9mv-71Ce-BzEC3}\71686919814.exe"' (со скрытым окном)
- '%APPDATA%\microsoft\windows\start menu\programs\startup\29874.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /sc minute /mo 5 /tn "Maintenance" /tr "C:\Users\%USERNAME%\AppData\Local\z_%USERNAME%\%USERNAME%.vbs" /F' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c start /I "" "%TEMP%\{h97h-Lc9mv-71Ce-BzEC3}\22570713347.exe" /mix' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im "A4E9OEPADViztfKamU9R6raQ.exe" /f & erase "%HOMEPATH%\Documents\A4E9OEPADViztfKamU9R6raQ.exe" & exit' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c start /I "" "%TEMP%\{h97h-Lc9mv-71Ce-BzEC3}\71686919814.exe"
- '%WINDIR%\syswow64\cmd.exe' /c %APPDATA%\del.bat
- '%WINDIR%\syswow64\ping.exe' localhost -n 3
- '%WINDIR%\syswow64\cmd.exe' /c del "%APPDATA%\del.bat"
- '%WINDIR%\syswow64\ehstorauthn.exe'
- '%WINDIR%\syswow64\schtasks.exe' /create /sc minute /mo 5 /tn "Maintenance" /tr "C:\Users\%USERNAME%\AppData\Local\z_%USERNAME%\%USERNAME%.vbs" /F
- '%WINDIR%\syswow64\cmd.exe' /c start /I "" "%TEMP%\{h97h-Lc9mv-71Ce-BzEC3}\22570713347.exe" /mix
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im "A4E9OEPADViztfKamU9R6raQ.exe" /f & erase "%HOMEPATH%\Documents\A4E9OEPADViztfKamU9R6raQ.exe" & exit
