Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'hvax64' = '"%APPDATA%\hvax64\hvax64.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'oneddsr' = '"%APPDATA%\one\oneddsr.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'onedddsr' = '"%APPDATA%\one\onedddsr.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'slui' = '"%APPDATA%\slui\slui.exe"'
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'gpresult' = '"%APPDATA%\gpresult\gpresult.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefox default browser agent bcb07e02db44c3d3
- <SYSTEM32>\tasks\services
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\explorer.exe
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- 95ae.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\Martin Prikryl]
- [<HKLM>\Software\Wow6432Node\Martin Prikryl]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\mozilla\firefox\profiles.ini
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\thunderbird\profiles.ini
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\hvax64\hvax64.exe
- %TEMP%\aa78.tmp
- %TEMP%\aa99.tmp
- %TEMP%\aa9a.tmp
- %TEMP%\aaaa.tmp
- %TEMP%\aabb.tmp
- %TEMP%\aacb.tmp
- %TEMP%\a99c.tmp
- %TEMP%\aa58.tmp
- %TEMP%\aadc.tmp
- %TEMP%\_jewfgc.vbs
- %APPDATA%\one\oneddsr.exe
- %APPDATA%\one\onedddsr.exe
- %APPDATA%\slui\slui.exe
- %APPDATA%\gpresult\gpresult.exe
- %TEMP%\services.exe
- %TEMP%\ab5a.tmp
- %TEMP%\ab5a.tmp-shm
- %TEMP%\a97c.tmp
- %TEMP%\a94c.tmp
- %TEMP%\a92c.tmp
- %TEMP%\d8e6.tmp
- %APPDATA%\ghswbhd
- %APPDATA%\stsahva
- %TEMP%\77ce.exe
- %TEMP%\7d0c.exe
- %TEMP%\8086.exe
- %TEMP%\8632.exe
- %TEMP%\regasm.exe
- %TEMP%\95ae.exe
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %TEMP%\a66c.tmp
- %TEMP%\a66c.tmp-shm
- %TEMP%\a6ab.tmp
- %TEMP%\9a8f.exe
- %APPDATA%\microsoft\libs\sihost64.exe
- %APPDATA%\microsoft\libs\wr64.sys
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\ghswbhd
- %APPDATA%\stsahva
Удаляет следующие файлы
- %TEMP%\regasm.exe
- %TEMP%\aadc.tmp
- %TEMP%\aacb.tmp
- %TEMP%\aabb.tmp
- %TEMP%\aaaa.tmp
- %TEMP%\aa9a.tmp
- %TEMP%\aa99.tmp
- %TEMP%\aa78.tmp
- %TEMP%\aa58.tmp
- %TEMP%\a99c.tmp
- %TEMP%\a97c.tmp
- %TEMP%\a94c.tmp
- %TEMP%\a92c.tmp
- %TEMP%\a6ab.tmp
- %TEMP%\a66c.tmp
- %TEMP%\a66c.tmp-shm
- %TEMP%\ab5a.tmp-shm
- %TEMP%\ab5a.tmp
Подменяет следующие файлы
- %TEMP%\regasm.exe
Сетевая активность
Подключается к
- 'cd#.##scordapp.com':443
- 'gr####odeteam.top':443
- 'gr###co2020.top':80
- '45.##4.225.35':7821
- 'pa###bin.com':443
- '45.##4.225.35':8808
- 'microsoft.com':80
TCP
Запросы HTTP POST
- http://gr###co2020.top/
- http://45.###.225.35:7821/ via 45.##4.225.35
Другие
- 'cd#.##scordapp.com':443
- 'gr####odeteam.top':443
- 'pa###bin.com':443
- '45.##4.225.35':8808
UDP
- DNS ASK gr###co2020.top
- DNS ASK cd#.##scordapp.com
- DNS ASK gr####odeteam.top
- DNS ASK pa###bin.com
- DNS ASK microsoft.com
Другое
Создает и запускает на исполнение
- '%TEMP%\regasm.exe'
- '%TEMP%\77ce.exe'
- '%TEMP%\7d0c.exe'
- '%TEMP%\8086.exe'
- '%TEMP%\8632.exe'
- '%TEMP%\95ae.exe'
- '%TEMP%\9a8f.exe'
- '%WINDIR%\syswow64\wscript.exe' "%TEMP%\_Jewfgc.vbs"
- '%APPDATA%\microsoft\libs\sihost64.exe'
- '%TEMP%\services.exe'
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath C:\,'%APPDATA%\one\oneddsr.exe'' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "Services" /tr '"%TEMP%\Services.exe"' & exit' (со скрытым окном)
- '%APPDATA%\microsoft\libs\sihost64.exe' ' (со скрытым окном)
- '%TEMP%\services.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\explorer.exe'
- '%WINDIR%\explorer.exe'
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath C:\,'%APPDATA%\one\oneddsr.exe'
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "Services" /tr '"%TEMP%\Services.exe"' & exit
- '<SYSTEM32>\schtasks.exe' /create /f /sc onlogon /rl highest /tn "Services" /tr '"%TEMP%\Services.exe"'
