Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'WUDFHost' = '"%ProgramFiles%\zapro\WUDFHost.exe"'
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'firefox' = '"C:\totalcmd\LANGUAGE\firefox.exe"'
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'mdm' = '"%CommonProgramFiles(x86)%\microsoft shared\VS7Debug\coloader\mdm.exe"'
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'mdm' = '"C:\MSOCache\All Users\{90140000-001A-0409-1000-0000000FF1CE}-C\mdm.exe"'
- [<HKLM>\Software\Microsoft\Windows\CurrentVersion\Run] 'mdm' = '"%CommonProgramFiles(x86)%\microsoft shared\VS7Debug\mdm\mdm.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\wudfhost
- <SYSTEM32>\tasks\firefox
- <SYSTEM32>\tasks\mdm
Вредоносные функции
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\j2os5ter.exe
- %TEMP%\snhzewihch
- %TEMP%\s8y133ekmu
- %TEMP%\e4ikiivsui
- %TEMP%\jonfh6eh5l
- %TEMP%\5l1hescu5v
- %TEMP%\caomfsmcvd
- %TEMP%\wjqbvftysc
- %CommonProgramFiles(x86)%\microsoft shared\vs7debug\coloader\mdm.exe
- %TEMP%\dhs2cn9viv
- %TEMP%\7q62eycfwi
- %TEMP%\ynr8p6lkqp
- %TEMP%\uugm5vxxfv
- %TEMP%\xlp7sqmy67
- %TEMP%\cyljnzzumf
- %TEMP%\gp1pcdarjk
- nul
- %TEMP%\vmzfvmdwzm.bat
- %TEMP%\pqe4isvft0
- %CommonProgramFiles(x86)%\microsoft shared\vs7debug\mdm\559fba5f8e44108851927af432f0edac6117c574
- %CommonProgramFiles(x86)%\microsoft shared\vs7debug\mdm\mdm.exe
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\559fba5f8e44108851927af432f0edac6117c574
- C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\mdm.exe
- %CommonProgramFiles(x86)%\microsoft shared\vs7debug\coloader\559fba5f8e44108851927af432f0edac6117c574
- %TEMP%\dqph8w7osq
- C:\totalcmd\language\0fc223bdacedc38dd6d2772d547ade1563558e92
- C:\totalcmd\language\firefox.exe
- %ProgramFiles%\zapro\480b7989c529f6ff17bde430d81d4770fb5337f5
- %ProgramFiles%\zapro\wudfhost.exe
- C:\dllsvc\qf6gjbjfot.vbe
- C:\dllsvc\dllsvcintoruntimehost.exe
- C:\dllsvc\been0vkz1heawqestvuqdtaca.bat
- %TEMP%\bnjt6tafab
- %TEMP%\lmhupjtxot
Удаляет следующие файлы
- %TEMP%\pqe4isvft0
- %TEMP%\cyljnzzumf
- %TEMP%\xlp7sqmy67
- %TEMP%\uugm5vxxfv
- %TEMP%\ynr8p6lkqp
- %TEMP%\7q62eycfwi
- %TEMP%\dhs2cn9viv
- %TEMP%\wjqbvftysc
- %TEMP%\dqph8w7osq
- %TEMP%\caomfsmcvd
- %TEMP%\5l1hescu5v
- %TEMP%\jonfh6eh5l
- %TEMP%\e4ikiivsui
- %TEMP%\s8y133ekmu
- %TEMP%\snhzewihch
- %TEMP%\gp1pcdarjk
- %TEMP%\bnjt6tafab
- %TEMP%\lmhupjtxot
Сетевая активность
Подключается к
- 'jo##.net':80
- '62.##9.25.60':80
TCP
Запросы HTTP GET
- http://jo##.net/Drl49dlHGkkZ0r.bin
- http://dl#.#oxi.net/drive/2021/09/05/0031/2434/2075010/10/d37d832104.bin
- http://62.##9.25.60/ImageJsgeo.php?iH############################################################################################################################################################...
UDP
- DNS ASK jo##.net
- DNS ASK dl#.#oxi.net
- 'localhost':123
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\j2os5ter.exe'
- '%WINDIR%\syswow64\wscript.exe' "C:\dllSvc\qF6GjbjfOT.vbe"
- 'C:\dllsvc\dllsvcintoruntimehost.exe'
- 'C:\msocache\all users\{90140000-001a-0409-1000-0000000ff1ce}-c\mdm.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\dllSvc\Been0Vkz1HeaWQestVUqDtAcA.bat" "' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\VMzfVmdwZM.bat"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\dllSvc\Been0Vkz1HeaWQestVUqDtAcA.bat" "
- '<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc ONLOGON /tr "'%ProgramFiles%\zapro\WUDFHost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'C:\totalcmd\LANGUAGE\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "mdm" /sc ONLOGON /tr "'%CommonProgramFiles(x86)%\microsoft shared\VS7Debug\coloader\mdm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "mdm" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-001A-0409-1000-0000000FF1CE}-C\mdm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "mdm" /sc ONLOGON /tr "'%CommonProgramFiles(x86)%\microsoft shared\VS7Debug\mdm\mdm.exe'" /rl HIGHEST /f
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\VMzfVmdwZM.bat"
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2
