Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\realtek hd audio
- <SYSTEM32>\tasks\wininit
- <SYSTEM32>\tasks\services
- <SYSTEM32>\tasks\winlogon
- <SYSTEM32>\tasks\iexplore
- <SYSTEM32>\tasks\conhost
- <SYSTEM32>\tasks\lsass
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%APPDATA%\Microsoft\Libs\WR64.sys'
Создает следующие сервисы
- 'WinRing0_1_2_0' %APPDATA%\Microsoft\Libs\WR64.sys
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rsimmortal_[unknowncheats.me]_.exe
- %TEMP%\otkhag7wud.bat
- %TEMP%\hj9f7s12vt
- %APPDATA%\microsoft\libs\sihost64.exe
- C:\totalcmd\language\6203df4a6bafc7c328ee7f6f8ca0a8a838a8a1b9
- C:\totalcmd\language\lsass.exe
- %ProgramFiles%\dislite\088424020bedd6b28ac7fd22ee35dcd7322895ce
- %ProgramFiles%\dislite\conhost.exe
- %ProgramFiles(x86)%\internet explorer\ie8props\9db6e019d4f04ef534d0f91b3462d805c40e9d20
- %ProgramFiles(x86)%\internet explorer\ie8props\iexplore.exe
- <SYSTEM32>\msvcp140d\cc11b995f2a76da408ea6a601e682e64743153ad
- <SYSTEM32>\msvcp140d\winlogon.exe
- <SYSTEM32>\cngaudit\c5b4cb5e9653cce737f29f72ba880dd4c4bab27d
- <SYSTEM32>\cngaudit\services.exe
- %ALLUSERSPROFILE%\oracle\java\560854153607923c4c5f107085a7db67be01f252
- %ALLUSERSPROFILE%\oracle\java\wininit.exe
- %TEMP%\reviewwinhostreviewsavesdll.exe
- %TEMP%\realtek hd audio.exe
- %APPDATA%\microsoft\libs\wr64.sys
- nul
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\rsimmortal_[unknowncheats.me]_.exe
- %TEMP%\realtek hd audio.exe
- %TEMP%\reviewwinhostreviewsavesdll.exe
Удаляет следующие файлы
- %TEMP%\hj9f7s12vt
Перемещает следующие файлы
- %TEMP%\rsimmortal_[unknowncheats.me]_.exe в %TEMP%\ossxuvqw.exe
Сетевая активность
Подключается к
- 'pa###bin.com':443
- 'po##.#ashvault.pro':80
TCP
Другие
- 'pa###bin.com':443
- 'po##.#ashvault.pro':80
UDP
- DNS ASK pa###bin.com
- DNS ASK po##.#ashvault.pro
Другое
Создает и запускает на исполнение
- '%TEMP%\rsimmortal_[unknowncheats.me]_.exe'
- '%TEMP%\realtek hd audio.exe'
- '%TEMP%\reviewwinhostreviewsavesdll.exe'
- '%APPDATA%\microsoft\libs\sihost64.exe'
- '%ProgramFiles(x86)%\internet explorer\ie8props\iexplore.exe'
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "Realtek HD Audio" /tr '"%TEMP%\Realtek HD Audio.exe"' & exit' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\otkHAg7WUd.bat"' (со скрытым окном)
- '%APPDATA%\microsoft\libs\sihost64.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "Realtek HD Audio" /tr '"%TEMP%\Realtek HD Audio.exe"' & exit
- '<SYSTEM32>\schtasks.exe' /create /f /sc onlogon /rl highest /tn "Realtek HD Audio" /tr '"%TEMP%\Realtek HD Audio.exe"'
- '<SYSTEM32>\schtasks.exe' /create /tn "wininit" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Oracle\Java\wininit.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "services" /sc ONLOGON /tr "'<SYSTEM32>\cngaudit\services.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "winlogon" /sc ONLOGON /tr "'<SYSTEM32>\msvcp140d\winlogon.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Internet Explorer\ie8props\iexplore.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "conhost" /sc ONLOGON /tr "'%ProgramFiles%\dislite\conhost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "lsass" /sc ONLOGON /tr "'C:\totalcmd\LANGUAGE\lsass.exe'" /rl HIGHEST /f
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\otkHAg7WUd.bat"
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\ping.exe' -n 5 localhost
- '%WINDIR%\explorer.exe' --cinit-find-x -B --algo=rx/0 --asm=auto --cpu-memory-pool=1 --randomx-mode=auto --randomx-no-rdmsr --cuda-bfactor-hint=12 --cuda-bsleep-hint=100 --url=pool.hashvault.pro:80 --user=41hPqivbUt9...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Get-MpPreference -verbose
