Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefox default browser agent ca4dd5ba805a2f01
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\explorer.exe
- %WINDIR%\explorer.exe
Перехватывает функции
в браузерах
- Процесс iexplore.exe, модуль wininet.dll
- Процесс firefox.exe, модуль nss3.dll
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [<HKCU>\Software\Martin Prikryl]
- [<HKLM>\Software\Wow6432Node\Martin Prikryl]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\mozilla\firefox\profiles.ini
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %APPDATA%\opera software\opera stable\login data
- %APPDATA%\thunderbird\profiles.ini
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: 'RegmonClass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\iarwrah
- %TEMP%\4a04.tmp
- %TEMP%\4a15.tmp
- %TEMP%\4a26.tmp
- %TEMP%\4c97.tmp
- %TEMP%\4cb7.tmp
- %TEMP%\4cb7.tmp-shm
- %TEMP%\tmp5a40.tmp
- %TEMP%\tmp5a60.tmp
- %TEMP%\tmp5a61.tmp
- %TEMP%\tmp5a62.tmp
- %TEMP%\tmp5a72.tmp
- %TEMP%\tmp5a83.tmp
- %TEMP%\tmp5a94.tmp
- %TEMP%\tmp5aa4.tmp
- %TEMP%\tmp6392.tmp
- %TEMP%\tmp6393.tmp
- %TEMP%\tmp6394.tmp
- %TEMP%\tmp6395.tmp
- %TEMP%\tmp63a6.tmp
- %TEMP%\48cb.tmp
- %TEMP%\tmp63a7.tmp
- %TEMP%\48bb.tmp
- %TEMP%\4678.tmp
- %APPDATA%\treuufs
- %TEMP%\62b8.exe
- %TEMP%\73aa.exe
- %TEMP%\90eb.exe
- %TEMP%\93c9.exe
- %TEMP%\9c43.exe
- %TEMP%\fa6a.exe
- %TEMP%\14fc.exe
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %TEMP%\31ba.tmp
- %TEMP%\31ba.tmp-shm
- %TEMP%\31f9.tmp
- %TEMP%\4358.tmp
- %TEMP%\4388.tmp
- %TEMP%\44e0.tmp
- %TEMP%\454e.tmp
- %TEMP%\46c7.tmp
- %TEMP%\tmp63a8.tmp
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\iarwrah
- %APPDATA%\treuufs
Удаляет следующие файлы
- %TEMP%\31ba.tmp-shm
- %TEMP%\tmp63a6.tmp
- %TEMP%\tmp6395.tmp
- %TEMP%\tmp6394.tmp
- %TEMP%\tmp6393.tmp
- %TEMP%\tmp6392.tmp
- %TEMP%\tmp5aa4.tmp
- %TEMP%\tmp5a94.tmp
- %TEMP%\tmp5a83.tmp
- %TEMP%\tmp5a72.tmp
- %TEMP%\tmp5a62.tmp
- %TEMP%\tmp5a61.tmp
- %TEMP%\tmp5a60.tmp
- %TEMP%\tmp5a40.tmp
- %TEMP%\4cb7.tmp
- %TEMP%\4cb7.tmp-shm
- %TEMP%\4c97.tmp
- %TEMP%\4a26.tmp
- %TEMP%\4a15.tmp
- %TEMP%\4a04.tmp
- %TEMP%\48cb.tmp
- %TEMP%\48bb.tmp
- %TEMP%\46c7.tmp
- %TEMP%\4678.tmp
- %TEMP%\454e.tmp
- %TEMP%\44e0.tmp
- %TEMP%\4388.tmp
- %TEMP%\4358.tmp
- %TEMP%\31f9.tmp
- %TEMP%\31ba.tmp
- %TEMP%\tmp63a7.tmp
- %TEMP%\tmp63a8.tmp
Самоудаляется.
Сетевая активность
Подключается к
- 're######istforjuly10.xyz':80
- '19#.#6.146.22':47861
- '45.##.49.111':26475
- '34.#41.84.7':80
- 'ge###tool.com':80
- 'ge###tool.com':443
- 'ap#.ip.sb':443
- 'microsoft.com':80
TCP
Запросы HTTP GET
- http://re######istforjuly10.xyz/raccon.exe
Запросы HTTP POST
- http://19#.##.146.22:47861/ via 19#.#6.146.22
- http://45.##.49.111:26475/ via 45.##.49.111
- http://re######istforjuly10.xyz/
- http://34.#41.84.7/
Другие
- 'te##te.in':443
- 'sh####25.tumblr.com':443
- 'ge###tool.com':443
- 'ap#.ip.sb':443
UDP
- DNS ASK re#####listforjuly1.xyz
- DNS ASK re#####listforjuly2.xyz
- DNS ASK re#####listforjuly3.xyz
- DNS ASK re#####listforjuly4.xyz
- DNS ASK re#####listforjuly5.xyz
- DNS ASK re#####listforjuly6.xyz
- DNS ASK re#####listforjuly7.xyz
- DNS ASK re#####listforjuly8.xyz
- DNS ASK re#####listforjuly9.xyz
- DNS ASK re######istforjuly10.xyz
- DNS ASK te##te.in
- DNS ASK ge###tool.com
- DNS ASK sh####25.tumblr.com
- DNS ASK ge###tatool.com
- DNS ASK ap#.ip.sb
- DNS ASK microsoft.com
Другое
Ищет следующие окна
- ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\62b8.exe'
- '%TEMP%\73aa.exe'
- '%TEMP%\90eb.exe'
- '%TEMP%\93c9.exe'
- '%TEMP%\9c43.exe'
- '%TEMP%\fa6a.exe'
- '%TEMP%\14fc.exe'
- '%APPDATA%\iarwrah'
- '%APPDATA%\iarwrah' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\explorer.exe'
- '%WINDIR%\explorer.exe'
- '<SYSTEM32>\taskeng.exe' {3107408B-9DA6-43E0-8711-2AE117A71ACE} S-1-5-21-1960123792-2022915161-3775307078-1001:uaoztt\user:Interactive:[1]
