Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\csrss
- <SYSTEM32>\tasks\wininit
- <SYSTEM32>\tasks\iexplore
- <SYSTEM32>\tasks\winlogon
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: '', WindowName: 'Registry Monitor - Sysinternals: www.sysinternals.com'
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\syswow64\portabledeviceapi\csrss.exe
- C:\users\public\iy5rlooxb3
- C:\users\public\umhfnidy8m
- C:\users\public\mphywkhzny
- C:\users\public\kkjexqxzei
- C:\users\public\gfpw2jqerc
- C:\users\public\ox2yk2oi4s
- C:\users\public\ntk0lz3mtw
- C:\users\public\crlkyanxqj
- C:\users\public\bxza98qqyf
- C:\users\public\yso8wbxqju
- C:\users\public\gvjlkvsqlr
- C:\users\public\8heitct9k8
- C:\users\public\ffeuziak6w
- C:\users\public\sumyixuyfm
- %ALLUSERSPROFILE%\start menu\cc11b995f2a76da408ea6a601e682e64743153ad
- %ALLUSERSPROFILE%\start menu\winlogon.exe
- %ProgramFiles(x86)%\internet explorer\jsdebuggeride\9db6e019d4f04ef534d0f91b3462d805c40e9d20
- %ProgramFiles(x86)%\internet explorer\jsdebuggeride\iexplore.exe
- %WINDIR%\syswow64\dmdskres\560854153607923c4c5f107085a7db67be01f252
- %WINDIR%\syswow64\dmdskres\wininit.exe
- %WINDIR%\syswow64\portabledeviceapi\886983d96e3d3e31032c679b2d4ea91b6c05afef
- C:\users\public\fznvfqh1ar
- C:\users\public\b10chydn0y
Удаляет следующие файлы
- C:\users\public\sumyixuyfm
- C:\users\public\ffeuziak6w
- C:\users\public\8heitct9k8
- C:\users\public\gvjlkvsqlr
- C:\users\public\yso8wbxqju
- C:\users\public\bxza98qqyf
- C:\users\public\crlkyanxqj
- C:\users\public\ntk0lz3mtw
- C:\users\public\ox2yk2oi4s
- C:\users\public\gfpw2jqerc
- C:\users\public\kkjexqxzei
- C:\users\public\mphywkhzny
- C:\users\public\umhfnidy8m
- C:\users\public\iy5rlooxb3
- C:\users\public\fznvfqh1ar
- C:\users\public\b10chydn0y
Сетевая активность
Подключается к
- 'cq####3.tmweb.ru':80
- 'ip##fo.io':443
TCP
Запросы HTTP GET
- http://cq####3.tmweb.ru/cytduseturbval.php?3h####################################################################################################################################################...
- http://cq####3.tmweb.ru/cytduseturbval.php?3h#############################################################################################################################
UDP
- DNS ASK cq####3.tmweb.ru
- DNS ASK ip##fo.io
Другое
Ищет следующие окна
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\start menu\winlogon.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'<SYSTEM32>\PortableDeviceApi\csrss.exe'" /rl HIGHEST /f
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "wininit" /sc ONLOGON /tr "'<SYSTEM32>\dmdskres\wininit.exe'" /rl HIGHEST /f
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Internet Explorer\jsdebuggeride\iexplore.exe'" /rl HIGHEST /f
- '%WINDIR%\syswow64\schtasks.exe' /create /tn "winlogon" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Start Menu\winlogon.exe'" /rl HIGHEST /f
