Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'RegHost' = '%APPDATA%\Microsoft\RegHost.exe'
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%WINDIR%\WinRing0x64.sys'
Создает следующие сервисы
- 'WinRing0_1_2_0' %WINDIR%\WinRing0x64.sys
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\bfsvc.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\ovp25012015.doc
- %HOMEPATH%\desktop\sdszfo.docx
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\a.exe
- %APPDATA%\microsoft\reghost.exe
- %APPDATA%\microsoft\regmodule.exe
- %APPDATA%\microsoft\onedrive.exe
- %APPDATA%\microsoft\regdata.exe
Сетевая активность
Подключается к
- '14#.#5.227.187':6238
- 'cd#.##scordapp.com':443
- '18#.#37.234.33':8080
- 'po##.#ashvault.pro':3333
TCP
Запросы HTTP GET
- http://18#.##7.234.33:8080/hs via 18#.#37.234.33
- http://18#.##7.234.33:8080/pm via 18#.#37.234.33
- http://18#.##7.234.33:8080/xr via 18#.#37.234.33
- http://18#.##7.234.33:8080/wd via 18#.#37.234.33
Другие
- '14#.#5.227.187':6238
- 'cd#.##scordapp.com':443
- 'po##.#ashvault.pro':3333
UDP
- DNS ASK cd#.##scordapp.com
- DNS ASK po##.#ashvault.pro
Другое
Создает и запускает на исполнение
- '%TEMP%\a.exe'
- '%APPDATA%\microsoft\reghost.exe'
- '%APPDATA%\microsoft\reghost.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\applaunch.exe'
- '%WINDIR%\bfsvc.exe' -log 0 -nvdo 1 -pool etc.2miners.com:1010 -wal 0x6A7B383b4c9eDA1348cc1fD31FDefcC6f20C05f5 -coin etc -worker bigdickzxc -cclock +500 -cvddc +500
- '%WINDIR%\notepad.exe' --coin=XMR -o pool.hashvault.pro:3333 -u 46FNsHGMqoXQJuHTpekQ4s3T1t8auRdCr5FK5TbP7kAHNRPxWm6icZEi8p64mE7wNady1fzY8TzZ5PrwfBEso4TNP1LpvVw -p bigdickzxc
- '%WINDIR%\explorer.exe' "123qWef0" "" "None" "etc"
