Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] '47f8e76e5a06be0f178835d4e4e37e09' = '"%WINDIR%\mamont.exe" ..'
- [<HKLM>\Software\Wow6432Node\Microsoft\Windows\CurrentVersion\Run] '47f8e76e5a06be0f178835d4e4e37e09' = '"%WINDIR%\mamont.exe" ..'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\47f8e76e5a06be0f178835d4e4e37e09.exe
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\svchost.exe
- <Имя диска съемного носителя>:\autorun.inf
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\mamont.exe" "mamont.exe" ENABLE
- '%WINDIR%\syswow64\taskkill.exe' /F /IM Exsample.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\server.exe
- C:\autorun.inf
- C:\svchost.exe
- %WINDIR%\mamont.exe
- %TEMP%\hlae_installer_20220324162528.log
- %WINDIR%\temp\{5059d586-a4d6-47a9-be8c-0d26831db572}\.ba\bootstrapperapplicationdata.xml
- %WINDIR%\temp\{5059d586-a4d6-47a9-be8c-0d26831db572}\.ba\2052\thm.wxl
- %WINDIR%\temp\{5059d586-a4d6-47a9-be8c-0d26831db572}\.ba\1055\thm.wxl
- %WINDIR%\temp\{5059d586-a4d6-47a9-be8c-0d26831db572}\.ba\1049\thm.wxl
- %WINDIR%\temp\{5059d586-a4d6-47a9-be8c-0d26831db572}\.ba\2070\thm.wxl
- %WINDIR%\temp\{5059d586-a4d6-47a9-be8c-0d26831db572}\.ba\1046\thm.wxl
- %WINDIR%\temp\{5059d586-a4d6-47a9-be8c-0d26831db572}\.ba\1045\thm.wxl
- %WINDIR%\temp\{5059d586-a4d6-47a9-be8c-0d26831db572}\.ba\1043\thm.wxl
- %WINDIR%\temp\{5059d586-a4d6-47a9-be8c-0d26831db572}\.ba\1041\thm.wxl
- %WINDIR%\temp\{5059d586-a4d6-47a9-be8c-0d26831db572}\.ba\1040\thm.wxl
- %WINDIR%\temp\{5059d586-a4d6-47a9-be8c-0d26831db572}\.ba\1038\thm.wxl
- %WINDIR%\temp\{5059d586-a4d6-47a9-be8c-0d26831db572}\.ba\1035\thm.wxl
- %WINDIR%\temp\{5059d586-a4d6-47a9-be8c-0d26831db572}\.ba\1033\thm.wxl
- %WINDIR%\temp\{5059d586-a4d6-47a9-be8c-0d26831db572}\.ba\1031\thm.wxl
- %WINDIR%\temp\{5059d586-a4d6-47a9-be8c-0d26831db572}\.ba\logoside.png
- %WINDIR%\temp\{5059d586-a4d6-47a9-be8c-0d26831db572}\.ba\logo.png
- %WINDIR%\temp\{5059d586-a4d6-47a9-be8c-0d26831db572}\.ba\thm.wxl
- %WINDIR%\temp\{5059d586-a4d6-47a9-be8c-0d26831db572}\.ba\thm.xml
- %WINDIR%\temp\{5059d586-a4d6-47a9-be8c-0d26831db572}\.ba\wixstdba.dll
- %WINDIR%\temp\{69856529-c901-4484-8909-17dc189e061c}\.cr\hlae_setup.exe
- %TEMP%\hlae_setup.exe
- D:\svchost.exe
- D:\autorun.inf
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\server.exe
- %WINDIR%\mamont.exe
- C:\svchost.exe
- C:\autorun.inf
- D:\svchost.exe
- D:\autorun.inf
- <Имя диска съемного носителя>:\svchost.exe
- <Имя диска съемного носителя>:\autorun.inf
Сетевая активность
Подключается к
- '6.###.ngrok.io':12688
UDP
- DNS ASK 6.###.ngrok.io
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\server.exe'
- '%TEMP%\hlae_setup.exe'
- '%WINDIR%\temp\{69856529-c901-4484-8909-17dc189e061c}\.cr\hlae_setup.exe' -burn.clean.room="%TEMP%\HLAE_Setup.exe" -burn.filehandle.attached=192 -burn.filehandle.self=200
- '%WINDIR%\mamont.exe'
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\mamont.exe" "mamont.exe" ENABLE' (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /F /IM Exsample.exe' (со скрытым окном)
