Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefox default browser agent 9642553fee5889d1
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- 32b8.exe
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: 'RegmonClass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\durvueb
- %APPDATA%\jgecffd
- %TEMP%\6e8a.exe
- %TEMP%\cd4d.exe
- %TEMP%\446.exe
- %TEMP%\278f.exe
- %TEMP%\2da8.exe
- %TEMP%\32b8.exe
- %TEMP%\3b22.exe
- %TEMP%\5d91.exe
- %TEMP%\64a3.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\durvueb
- %APPDATA%\jgecffd
Самоудаляется.
Сетевая активность
Подключается к
- '45.##0.67.148':80
- '88.##8.119.112':14961
- 'microsoft.com':80
- '45.##.231.250':62568
TCP
Запросы HTTP GET
- http://re######istforjuly10.xyz/raccon.exe
- http://re######istforjuly10.xyz/reestr.exe
Запросы HTTP POST
- http://re#####listforjuly9.xyz/
- http://re######istforjuly10.xyz/
- http://88.###.119.112:14961/ via 88.##8.119.112
- http://45.##.231.250:62568/ via 45.##.231.250
Другие
- 'pr#####liloc.tumblr.com':443
UDP
- DNS ASK re#####listforjuly1.xyz
- DNS ASK re#####listforjuly2.xyz
- DNS ASK re#####listforjuly3.xyz
- DNS ASK re#####listforjuly4.xyz
- DNS ASK re#####listforjuly5.xyz
- DNS ASK re#####listforjuly6.xyz
- DNS ASK re#####listforjuly7.xyz
- DNS ASK re#####listforjuly8.xyz
- DNS ASK re#####listforjuly9.xyz
- DNS ASK re######istforjuly10.xyz
- DNS ASK pr#####liloc.tumblr.com
- DNS ASK microsoft.com
- DNS ASK te##te.in
- DNS ASK ap#.ip.sb
Другое
Ищет следующие окна
- ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\6e8a.exe'
- '%APPDATA%\durvueb'
- '%TEMP%\cd4d.exe'
- '%TEMP%\446.exe'
- '%TEMP%\278f.exe'
- '%TEMP%\2da8.exe'
- '%TEMP%\32b8.exe'
- '%TEMP%\3b22.exe'
- '%TEMP%\5d91.exe'
- '%TEMP%\64a3.exe'
- '%APPDATA%\durvueb' ' (со скрытым окном)
- '%ProgramFiles%\windows defender\mpcmdrun.exe' -RemoveDefinitions -All -Set-Mp Preference -DisableIOAVProtection $True -DisableRealtimeMonitoring $True -Force' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\taskeng.exe' {3AB8980B-7B97-4F70-99A2-809EFF711FB3} S-1-5-21-1960123792-2022915161-3775307078-1001:cuhhelumnpab\user:Interactive:[1]
- '%ProgramFiles%\windows defender\mpcmdrun.exe' -RemoveDefinitions -All -Set-Mp Preference -DisableIOAVProtection $True -DisableRealtimeMonitoring $True -Force
- '%WINDIR%\syswow64\explorer.exe'
- '%WINDIR%\explorer.exe'
