Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Host' = '%ALLUSERSPROFILE%\Windows Host\Windows Host.exe'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'tcXTKzJXpXdCENLhJflWZySfWPCQrBmE' = '%WINDIR%\Resources\Themes\BfuhfvqREZYWyV\svchost.exe'
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
добавляет исключения антивируса с помощью следующих ключей реестра::
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\Resources\Themes\BfuhfvqREZYWyV\svchost.exe' = '00000000'
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows Defender\Exclusions\Paths] '%ALLUSERSPROFILE%\5375254.exe' = '00000000'
Внедряет код в
следующие пользовательские процессы:
- 2394071.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\aoc_saq_d_v3_merchant.docx
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\fi51.doc
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\1041111.exe
- %TEMP%\tmpdc88.tmp
- %TEMP%\tmpdcc8.tmp
- %TEMP%\tmpdcd8.tmp
- %TEMP%\tmpdcd9.tmp
- %TEMP%\tmpdcea.tmp
- %TEMP%\tmpdceb.tmp
- %TEMP%\tmpdcfd.tmp
- %TEMP%\tmpdb88.tmp
- %TEMP%\tmpdd0d.tmp
- %TEMP%\tmpdd0e.tmp
- %TEMP%\tmpdd0f.tmp
- %TEMP%\tmpdd10.tmp
- %TEMP%\tmpdd21.tmp
- %TEMP%\tmpdd22.tmp
- %TEMP%\tmpdc8b.tmp
- %TEMP%\tmpdc7a.tmp
- %TEMP%\tmpdbfd.tmp
- %TEMP%\tmpdbec.tmp
- %TEMP%\tmpdbeb.tmp
- %TEMP%\tmpdbda.tmp
- %TEMP%\tmpdbca.tmp
- %TEMP%\tmpdbb9.tmp
- %TEMP%\tmpdb99.tmp
- %TEMP%\tmpdcfc.tmp
- %TEMP%\tmpdb68.tmp
- %TEMP%\tmpdb67.tmp
- %TEMP%\tmpdb66.tmp
- %TEMP%\tmpdb65.tmp
- %TEMP%\tmpdb55.tmp
- %TEMP%\tmpdb54.tmp
- %TEMP%\tmpdb53.tmp
- %TEMP%\tmpdd32.tmp
- %TEMP%\tmpdd33.tmp
- %TEMP%\tmpdd44.tmp
- %TEMP%\tmpdd45.tmp
- %TEMP%\tmpddb6.tmp
- %TEMP%\tmpddb7.tmp
- %TEMP%\tmpddc7.tmp
- %TEMP%\tmpddc8.tmp
- %TEMP%\tmpddc9.tmp
- %TEMP%\tmpddca.tmp
- %TEMP%\tmpdddc.tmp
- %TEMP%\tmpdb52.tmp
- %TEMP%\tmpdddd.tmp
- %TEMP%\tmpddde.tmp
- %TEMP%\tmpddee.tmp
- %TEMP%\tmpddef.tmp
- %TEMP%\tmpde10.tmp
- %TEMP%\tmpde11.tmp
- %TEMP%\tmpddb5.tmp
- %TEMP%\tmpdd7c.tmp
- %TEMP%\tmpdda4.tmp
- %TEMP%\tmpdd7b.tmp
- %TEMP%\tmpdd56.tmp
- %TEMP%\tmpdd57.tmp
- %TEMP%\tmpdd58.tmp
- %TEMP%\tmpdd68.tmp
- %TEMP%\tmpdd69.tmp
- %TEMP%\tmpdd6a.tmp
- %TEMP%\tmpde60.tmp
- %TEMP%\tmpdda2.tmp
- %TEMP%\tmpdd7d.tmp
- %TEMP%\tmpdd8d.tmp
- %TEMP%\tmpdd8e.tmp
- %TEMP%\tmpdd8f.tmp
- %TEMP%\tmpdd90.tmp
- %TEMP%\tmpdda1.tmp
- %TEMP%\tmpdda3.tmp
- %TEMP%\tmpdddb.tmp
- %TEMP%\tmpdb41.tmp
- %TEMP%\tmpdb08.tmp
- %ALLUSERSPROFILE%\63\53e1275c639f7cf32725f4ed0e7089d6.txt
- %ALLUSERSPROFILE%\63\bdb401d3a64a11fa92a6ba22246a5792.txt
- %ALLUSERSPROFILE%\63\2c8dae4671cd6dea956271b5fdd28fce.txt
- %ALLUSERSPROFILE%\63\eb993143ee223f93d801fff680431269.txt
- %ALLUSERSPROFILE%\63\5a947736c9f979d921f37df3e99c3318.txt
- %TEMP%\tmpd680.tmp
- %TEMP%\tmpd73d.tmp
- %ALLUSERSPROFILE%\63\softokn3.dll
- %TEMP%\tmpd73e.tmp
- %TEMP%\tmpd877.tmp
- %TEMP%\tmpd8d6.tmp
- %TEMP%\tmpd9c1.tmp
- %TEMP%\tmpd9c2.tmp
- %TEMP%\tmpd9e2.tmp
- %ALLUSERSPROFILE%\63\816f48017a6a53be6e632b3476bef1b7.txt
- %TEMP%\ebeefabf-c75a-4e54-b864-bbbe47b0bacb\test.bat
- %TEMP%\ebeefabf-c75a-4e54-b864-bbbe47b0bacb\advancedrun.exe
- %ALLUSERSPROFILE%\63\nss3.dll
- %ALLUSERSPROFILE%\63\msvcp140.dll
- %ALLUSERSPROFILE%\63\mozglue.dll
- %ALLUSERSPROFILE%\63\freebl3.dll
- %ALLUSERSPROFILE%\63\vcruntime140.dll
- %ALLUSERSPROFILE%\63\sqlite3.dll
- %TEMP%\tmpd73c.tmp
- %ALLUSERSPROFILE%\6374
- %WINDIR%\resources\themes\bfuhfvqrezywyv\svchost.exe
- %HOMEPATH%\skqwxersypcqnyikccvsyrqagr
- %ALLUSERSPROFILE%\windows host\windows host.exe
- %ALLUSERSPROFILE%\5375254.exe
- %ALLUSERSPROFILE%\2394071.exe
- %ALLUSERSPROFILE%\3738373.exe
- %TEMP%\tmpd9e3.tmp
- %TEMP%\tmpda22.tmp
- %TEMP%\tmpda33.tmp
- %TEMP%\tmpda34.tmp
- %TEMP%\tmpdae3.tmp
- %TEMP%\tmpdaf4.tmp
- %TEMP%\tmpdaf5.tmp
- %TEMP%\tmpdb05.tmp
- %TEMP%\tmpdb06.tmp
- %TEMP%\tmpdb07.tmp
- %TEMP%\tmpdb19.tmp
- %TEMP%\tmpdb40.tmp
- %TEMP%\tmpdb1a.tmp
- %TEMP%\tmpdb2a.tmp
- %TEMP%\tmpdb2b.tmp
- %TEMP%\tmpdb2c.tmp
- %TEMP%\tmpdb2d.tmp
- %TEMP%\tmpdb3e.tmp
- %TEMP%\tmpdae2.tmp
- %TEMP%\tmpda8a.tmp
- %TEMP%\tmpdae1.tmp
- %TEMP%\tmpda79.tmp
- %TEMP%\tmpda45.tmp
- %TEMP%\tmpda55.tmp
- %TEMP%\tmpda56.tmp
- %TEMP%\tmpda67.tmp
- %TEMP%\tmpda68.tmp
- %TEMP%\tmpda69.tmp
- %TEMP%\tmpdb3f.tmp
- %TEMP%\tmpdacf.tmp
- %TEMP%\tmpda9b.tmp
- %TEMP%\tmpdaab.tmp
- %TEMP%\tmpdaac.tmp
- %TEMP%\tmpdaad.tmp
- %TEMP%\tmpdabe.tmp
- %TEMP%\tmpdace.tmp
- %TEMP%\tmpdad0.tmp
- %TEMP%\tmpde70.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %ALLUSERSPROFILE%\windows host\windows host.exe
Удаляет следующие файлы
- %TEMP%\ebeefabf-c75a-4e54-b864-bbbe47b0bacb\advancedrun.exe
- %TEMP%\tmpdd32.tmp
- %TEMP%\tmpdd33.tmp
- %TEMP%\tmpdd21.tmp
- %TEMP%\tmpdd22.tmp
- %TEMP%\tmpdd0f.tmp
- %TEMP%\tmpdd10.tmp
- %TEMP%\tmpdd0d.tmp
- %TEMP%\tmpdd0e.tmp
- %TEMP%\tmpdcfc.tmp
- %TEMP%\tmpdcfd.tmp
- %TEMP%\tmpdcea.tmp
- %TEMP%\tmpdceb.tmp
- %TEMP%\tmpdcd8.tmp
- %TEMP%\tmpdcd9.tmp
- %TEMP%\tmpdcc8.tmp
- %TEMP%\tmpdd44.tmp
- %TEMP%\tmpdc8b.tmp
- %TEMP%\tmpdc7a.tmp
- %TEMP%\tmpdbfd.tmp
- %TEMP%\tmpdbec.tmp
- %TEMP%\tmpdbeb.tmp
- %TEMP%\tmpdbda.tmp
- %TEMP%\tmpdbb9.tmp
- %TEMP%\tmpdbca.tmp
- %TEMP%\tmpdb88.tmp
- %TEMP%\tmpdb99.tmp
- %TEMP%\tmpdb67.tmp
- %TEMP%\tmpdb68.tmp
- %TEMP%\tmpdb65.tmp
- %TEMP%\tmpdc88.tmp
- %TEMP%\tmpdaf4.tmp
- %TEMP%\tmpdd57.tmp
- %TEMP%\tmpde10.tmp
- %TEMP%\tmpde11.tmp
- %TEMP%\tmpddee.tmp
- %TEMP%\tmpddef.tmp
- %TEMP%\tmpdddd.tmp
- %TEMP%\tmpddde.tmp
- %TEMP%\tmpdddb.tmp
- %TEMP%\tmpdddc.tmp
- %TEMP%\tmpddc9.tmp
- %TEMP%\tmpddca.tmp
- %TEMP%\tmpddc7.tmp
- %TEMP%\tmpddc8.tmp
- %TEMP%\tmpddb6.tmp
- %TEMP%\tmpddb7.tmp
- %TEMP%\tmpdb66.tmp
- %TEMP%\tmpdd45.tmp
- %TEMP%\tmpdda2.tmp
- %TEMP%\tmpdda3.tmp
- %TEMP%\tmpdd90.tmp
- %TEMP%\tmpdda1.tmp
- %TEMP%\tmpdd8e.tmp
- %TEMP%\tmpdd8f.tmp
- %TEMP%\tmpdd7d.tmp
- %TEMP%\tmpdd8d.tmp
- %TEMP%\tmpdd7b.tmp
- %TEMP%\tmpdd7c.tmp
- %TEMP%\tmpdd69.tmp
- %TEMP%\tmpdd6a.tmp
- %TEMP%\tmpdd58.tmp
- %TEMP%\tmpdd68.tmp
- %TEMP%\tmpddb5.tmp
- %TEMP%\tmpdd56.tmp
- %TEMP%\tmpdb54.tmp
- %TEMP%\tmpdb55.tmp
- %TEMP%\tmpdb52.tmp
- %ALLUSERSPROFILE%\6374
- %TEMP%\tmpda34.tmp
- %TEMP%\tmpda45.tmp
- %TEMP%\tmpda22.tmp
- %TEMP%\tmpda33.tmp
- %TEMP%\tmpd9e2.tmp
- %TEMP%\tmpd9e3.tmp
- %TEMP%\tmpd9c2.tmp
- %TEMP%\tmpd9c1.tmp
- %TEMP%\tmpd8d6.tmp
- %TEMP%\tmpd877.tmp
- %TEMP%\tmpd73e.tmp
- %TEMP%\tmpd73d.tmp
- %TEMP%\tmpd73c.tmp
- %TEMP%\tmpde70.tmp
- %TEMP%\tmpda55.tmp
- %ALLUSERSPROFILE%\63\vcruntime140.dll
- %ALLUSERSPROFILE%\63\sqlite3.dll
- %ALLUSERSPROFILE%\63\softokn3.dll
- %ALLUSERSPROFILE%\63\nss3.dll
- %ALLUSERSPROFILE%\63\msvcp140.dll
- %ALLUSERSPROFILE%\63\mozglue.dll
- %ALLUSERSPROFILE%\63\freebl3.dll
- %ALLUSERSPROFILE%\63\eb993143ee223f93d801fff680431269.txt
- %ALLUSERSPROFILE%\63\bdb401d3a64a11fa92a6ba22246a5792.txt
- %ALLUSERSPROFILE%\63\816f48017a6a53be6e632b3476bef1b7.txt
- %ALLUSERSPROFILE%\63\5a947736c9f979d921f37df3e99c3318.txt
- %ALLUSERSPROFILE%\63\53e1275c639f7cf32725f4ed0e7089d6.txt
- %ALLUSERSPROFILE%\63\2c8dae4671cd6dea956271b5fdd28fce.txt
- %TEMP%\ebeefabf-c75a-4e54-b864-bbbe47b0bacb\test.bat
- %TEMP%\tmpd680.tmp
- %TEMP%\tmpdda4.tmp
- %TEMP%\tmpda68.tmp
- %TEMP%\tmpda69.tmp
- %TEMP%\tmpda67.tmp
- %TEMP%\tmpdb53.tmp
- %TEMP%\tmpdb40.tmp
- %TEMP%\tmpdb41.tmp
- %TEMP%\tmpdb3e.tmp
- %TEMP%\tmpdb3f.tmp
- %TEMP%\tmpdb2c.tmp
- %TEMP%\tmpdb2d.tmp
- %TEMP%\tmpdb2a.tmp
- %TEMP%\tmpdb2b.tmp
- %TEMP%\tmpdb19.tmp
- %TEMP%\tmpdb1a.tmp
- %TEMP%\tmpdb07.tmp
- %TEMP%\tmpdb08.tmp
- %TEMP%\tmpda79.tmp
- %TEMP%\tmpdb05.tmp
- %TEMP%\tmpda56.tmp
- %TEMP%\tmpdaf5.tmp
- %TEMP%\tmpdae2.tmp
- %TEMP%\tmpdae3.tmp
- %TEMP%\tmpdad0.tmp
- %TEMP%\tmpdae1.tmp
- %TEMP%\tmpdace.tmp
- %TEMP%\tmpdacf.tmp
- %TEMP%\tmpdaad.tmp
- %TEMP%\tmpdabe.tmp
- %TEMP%\tmpdaab.tmp
- %TEMP%\tmpdaac.tmp
- %TEMP%\tmpda8a.tmp
- %TEMP%\tmpda9b.tmp
- %TEMP%\tmpdb06.tmp
- %TEMP%\tmpde60.tmp
Сетевая активность
Подключается к
- 'ip###ger.org':443
- 'microsoft.com':80
- 'vi###oshin.xyz':80
- 'xo###uilsh.xyz':80
- 'ap#.ip.sb':443
TCP
Запросы HTTP GET
- http://mm####idbhmibnr.ml/liverpool-fc-news/features/steven-gerrard-liverpool-future-dalglish--goal-94E299E48B8F651A9FD656D73405D681.html
Запросы HTTP POST
- http://vi###oshin.xyz//
UDP
- DNS ASK pi###-dcn.xyz
- DNS ASK ip###ger.org
- DNS ASK mm####idbhmibnr.ml
- DNS ASK microsoft.com
- DNS ASK po####ns3rts.xyz
- DNS ASK vi###oshin.xyz
- DNS ASK xo###uilsh.xyz
- DNS ASK ap#.ip.sb
Другое
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\1041111.exe'
- '%ALLUSERSPROFILE%\3738373.exe'
- '%ALLUSERSPROFILE%\2394071.exe'
- '%ALLUSERSPROFILE%\5375254.exe'
- '%ALLUSERSPROFILE%\windows host\windows host.exe'
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%ALLUSERSPROFILE%\5375254.exe" -Force
- '%TEMP%\ebeefabf-c75a-4e54-b864-bbbe47b0bacb\advancedrun.exe' /EXEFilename "%TEMP%\ebeefabf-c75a-4e54-b864-bbbe47b0bacb\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run
- '%TEMP%\ebeefabf-c75a-4e54-b864-bbbe47b0bacb\advancedrun.exe' /SpecialRun 4101d8 1312
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Resources\Themes\BfuhfvqREZYWyV\svchost.exe" -Force' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%ALLUSERSPROFILE%\5375254.exe" -Force' (со скрытым окном)
- '%TEMP%\ebeefabf-c75a-4e54-b864-bbbe47b0bacb\advancedrun.exe' /EXEFilename "%TEMP%\ebeefabf-c75a-4e54-b864-bbbe47b0bacb\test.bat" /WindowState ""0"" /PriorityClass ""32"" /CommandLine "" /StartDirectory "" /RunAs 8 /Run' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c timeout 1' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%WINDIR%\Resources\Themes\BfuhfvqREZYWyV\svchost.exe" -Force
- '%WINDIR%\syswow64\cmd.exe' /c timeout 1
- '%WINDIR%\syswow64\timeout.exe' 1
