Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\RunOnce] '{dfea0fad-88b2-4a1f-8536-3f8f9391f4ef}' = '"%ALLUSERSPROFILE%\Package Cache\{dfea0fad-88b2-4a1f-8536-3f8f9391f4ef}\VC_red...
Вредоносные функции
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\vcredist86.exe
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1049\license.rtf
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1055\thm.wxl
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1055\license.rtf
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\2052\thm.wxl
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\2052\license.rtf
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\3082\thm.wxl
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\3082\license.rtf
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\bootstrapperapplicationdata.xml
- %TEMP%\dd_vcredist_x86_20210711231402.log
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.be\vc_redist.x86.exe
- %ALLUSERSPROFILE%\package cache\{dfea0fad-88b2-4a1f-8536-3f8f9391f4ef}\vc_redist.x86.exe
- %ALLUSERSPROFILE%\package cache\{dfea0fad-88b2-4a1f-8536-3f8f9391f4ef}\state.rsm
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\windows7_msu_x64
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\vcruntimeminimum_x86
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\vcruntimeadditional_x86
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\cab54a5cabbe7274d8a22eb58060aab7623
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\cabb3e1576d1fefbb979e13b1a5379e0b16
- C:\eb96d9b00edec8aab1ce912c\$dpx$.tmp\6af9c3bad7811e4baff62616b6dbe6cb.tmp
- C:\eb96d9b00edec8aab1ce912c\$dpx$.tmp\5017a2ba0fd9014ab11ebf00d9d56a8d.tmp
- C:\eb96d9b00edec8aab1ce912c\$dpx$.tmp\6fe2abf5a6a2014ca954409ca7b0d71c.tmp
- C:\eb96d9b00edec8aab1ce912c\$dpx$.tmp\9d0caa20ac592a42803ec47c300079ea.tmp
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1049\thm.wxl
- %WINDIR%\softwaredistribution\scanfile\15fd2635-c0e8-43a0-8142-7753852b8ad4\source.cab
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1046\license.rtf
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1045\license.rtf
- %WINDIR%\temp\{0c953d4d-fe4a-4e8a-b36d-5aa68df63886}\.cr\vcredist86.exe
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\wixstdba.dll
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\thm.xml
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\thm.wxl
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\logo.png
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\license.rtf
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1028\thm.wxl
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1028\license.rtf
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1029\thm.wxl
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1029\license.rtf
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1031\thm.wxl
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1031\license.rtf
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1036\thm.wxl
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1036\license.rtf
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1040\thm.wxl
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1040\license.rtf
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1041\thm.wxl
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1041\license.rtf
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1042\thm.wxl
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1042\license.rtf
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1045\thm.wxl
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.ba\1046\thm.wxl
- %WINDIR%\softwaredistribution\scanfile\15fd2635-c0e8-43a0-8142-7753852b8ad4\package.cab
Удаляет следующие файлы
- %WINDIR%\softwaredistribution\scanfile\15fd2635-c0e8-43a0-8142-7753852b8ad4\source.cab
Перемещает следующие файлы
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\windows7_msu_x64 в %ALLUSERSPROFILE%\package cache\.unverified\windows7_msu_x64
- %ALLUSERSPROFILE%\package cache\.unverified\windows7_msu_x64 в %ALLUSERSPROFILE%\package cache\54050a5f8ae7f0c56e553f0090146c17a1d2bf8d\packages\patch\x64\windows6.1-kb2999226-x64.msu
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\vcruntimeminimum_x86 в %ALLUSERSPROFILE%\package cache\.unverified\vcruntimeminimum_x86
- %ALLUSERSPROFILE%\package cache\.unverified\vcruntimeminimum_x86 в %ALLUSERSPROFILE%\package cache\{7d75664a-6c04-424c-82a1-ee88913e5f16}v14.29.30037\packages\vcruntimeminimum_x86\vc_runtimeminimum_x86.msi
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\cab54a5cabbe7274d8a22eb58060aab7623 в %ALLUSERSPROFILE%\package cache\.unverified\cab54a5cabbe7274d8a22eb58060aab7623
- %ALLUSERSPROFILE%\package cache\.unverified\cab54a5cabbe7274d8a22eb58060aab7623 в %ALLUSERSPROFILE%\package cache\{7d75664a-6c04-424c-82a1-ee88913e5f16}v14.29.30037\packages\vcruntimeminimum_x86\cab1.cab
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\vcruntimeadditional_x86 в %ALLUSERSPROFILE%\package cache\.unverified\vcruntimeadditional_x86
- %ALLUSERSPROFILE%\package cache\.unverified\vcruntimeadditional_x86 в %ALLUSERSPROFILE%\package cache\{01faec41-b3bc-44f4-b185-5e8475aeb855}v14.29.30037\packages\vcruntimeadditional_x86\vc_runtimeadditional_x86.msi
- %WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\cabb3e1576d1fefbb979e13b1a5379e0b16 в %ALLUSERSPROFILE%\package cache\.unverified\cabb3e1576d1fefbb979e13b1a5379e0b16
- %ALLUSERSPROFILE%\package cache\.unverified\cabb3e1576d1fefbb979e13b1a5379e0b16 в %ALLUSERSPROFILE%\package cache\{01faec41-b3bc-44f4-b185-5e8475aeb855}v14.29.30037\packages\vcruntimeadditional_x86\cab1.cab
- C:\eb96d9b00edec8aab1ce912c\$dpx$.tmp\6af9c3bad7811e4baff62616b6dbe6cb.tmp в C:\eb96d9b00edec8aab1ce912c\wsusscan.cab
- C:\eb96d9b00edec8aab1ce912c\$dpx$.tmp\5017a2ba0fd9014ab11ebf00d9d56a8d.tmp в C:\eb96d9b00edec8aab1ce912c\windows6.1-kb2999226-x64.cab
- C:\eb96d9b00edec8aab1ce912c\$dpx$.tmp\6fe2abf5a6a2014ca954409ca7b0d71c.tmp в C:\eb96d9b00edec8aab1ce912c\windows6.1-kb2999226-x64-pkgproperties.txt
- C:\eb96d9b00edec8aab1ce912c\$dpx$.tmp\9d0caa20ac592a42803ec47c300079ea.tmp в C:\eb96d9b00edec8aab1ce912c\windows6.1-kb2999226-x64.xml
Сетевая активность
Подключается к
- 'localhost':49172
- 'localhost':49174
- 'ro####exploits.org':443
TCP
Другие
- 'localhost':49172
- 'localhost':49174
- 'localhost':49175
- 'ro####exploits.org':443
UDP
- DNS ASK ro####exploits.org
Другое
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
- ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
Создает и запускает на исполнение
- '<Текущая директория>\vcredist86.exe' /install /quiet /norestart
- '%WINDIR%\temp\{0c953d4d-fe4a-4e8a-b36d-5aa68df63886}\.cr\vcredist86.exe' -burn.clean.room="<Текущая директория>\vcredist86.exe" -burn.filehandle.attached=192 -burn.filehandle.self=200 /install /quiet /norestart
- '%WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.be\vc_redist.x86.exe' -q -burn.elevated BurnPipe.{D9533A48-4E99-4364-964E-52E0EB52957C} {9C571E5A-BEA1-4CE5-BAB2-B679C1359995} 972
- '%WINDIR%\temp\{44d73271-e7bc-4264-9590-7e08e6c07d70}\.be\vc_redist.x86.exe' -q -burn.elevated BurnPipe.{D9533A48-4E99-4364-964E-52E0EB52957C} {9C571E5A-BEA1-4CE5-BAB2-B679C1359995} 972' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' vcredist86.exe /install /quiet /norestart
- '<SYSTEM32>\wusa.exe' "%ALLUSERSPROFILE%\Package Cache\54050A5F8AE7F0C56E553F0090146C17A1D2BF8D\packages\Patch\x64\Windows6.1-KB2999226-x64.msu" /quiet /norestart
