Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'ast' = '%APPDATA%\2xcd6wv\ast.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\installutil.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %ProgramFiles(x86)%\steam\config\config.vdf
- %ProgramFiles(x86)%\steam\config\dialogconfig.vdf
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\cveuropeo.doc
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\lisp_success.doc
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\weeklysheet1215.doc
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %APPDATA%\opera software\opera stable\login data
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: 'OllyDBg'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\meta.exe
- %TEMP%\2xcd6wv\vcruntime140.dll
- %TEMP%\2xcd6wv\vcomp140.dll
- %TEMP%\2xcd6wv\ssleay32.dll
- %TEMP%\2xcd6wv\sqlite3.dll
- %TEMP%\2xcd6wv\quartz.dll
- %TEMP%\2xcd6wv\opus.dll
- %TEMP%\2xcd6wv\msvcr120.dll
- %TEMP%\2xcd6wv\libssl-1_1.dll
- %TEMP%\2xcd6wv\libjpeg-turbo-win.dll
- %TEMP%\2xcd6wv\libeay32.dll
- %TEMP%\2xcd6wv\libcurl.dll
- %TEMP%\2xcd6wv\libcryptomd.dll
- %TEMP%\2xcd6wv\libcrypto-1_1.dll
- %TEMP%\2xcd6wv\hatls.dll
- %TEMP%\2xcd6wv\aw_sas32.dll
- %TEMP%\2xcd6wv\astrct.dll
- %TEMP%\2xcd6wv\astcrp.dll
- %TEMP%\2xcd6wv\astclient.dll
- %TEMP%\2xcd6wv\ast.exe
- %TEMP%\2xcd6wv\rdtdlt2i0b.bmp
- %TEMP%\2xcd6wv\qbmw.bat
- %TEMP%\2xcd6wv\hicggc.cfg
- %TEMP%\2xcd6wv\config.ini
- %TEMP%\nst4de2.tmp\nsis7z.dll
- %TEMP%\nst4de2.tmp\system.dll
- %TEMP%\nst4de2.tmp\crypto.dll
- %TEMP%\nst4de2.tmp\nsdialogs.dll
- %TEMP%\2xcd6wv.bin
- %TEMP%\asist.exe
- %TEMP%\nst4de2.tmp\execcmd.dll
- %APPDATA%\2xcd6wv\hicggc.cfg
Удаляет следующие файлы
- %TEMP%\2xcd6wv.bin
- %TEMP%\nst4de2.tmp\crypto.dll
- %TEMP%\nst4de2.tmp\execcmd.dll
- %TEMP%\nst4de2.tmp\nsdialogs.dll
- %TEMP%\nst4de2.tmp\nsis7z.dll
- %TEMP%\nst4de2.tmp\system.dll
Сетевая активность
Подключается к
- 'ha###bet.com':80
- 'localhost':49175
- 'id.######akicokc0aablc.xn--p1ai':443
- 'localhost':49178
- 'id.######akicokc0aablc.xn--p1ai':44335
- 'id.######akicokc0aablc.xn--p1ai':80
- '91.##8.251.66':44444
- 'mi####ewbacker.com':80
- '17#.#50.247.23':36312
TCP
Запросы HTTP GET
- http://ha###bet.com/meta.exe
- http://ha###bet.com/rc.exe
- http://ha###bet.com/asist.exe
- http://mi####ewbacker.com/update.php?id################################################
Запросы HTTP POST
- http://id.#######kicokc0aablc.xn--p1ai:80/api/exec via id.######akicokc0aablc.xn--p1ai
Другие
- 'localhost':49175
- 'localhost':49176
- 'id.######akicokc0aablc.xn--p1ai':443
- 'localhost':49178
- 'localhost':49179
- 'id.######akicokc0aablc.xn--p1ai':44335
- '91.##8.251.66':44444
- '17#.#50.247.23':36312
UDP
- DNS ASK ha###bet.com
- DNS ASK id.######akicokc0aablc.xn--p1ai
- DNS ASK mi####ewbacker.com
Другое
Ищет следующие окна
- ClassName: 'WinDbgFrameClass' WindowName: ''
- ClassName: 'ID' WindowName: ''
- ClassName: 'ObsidianGUI' WindowName: ''
- ClassName: '#32770' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\meta.exe'
- '%TEMP%\asist.exe'
- '%WINDIR%\syswow64\cmd.exe' /C "%APPDATA%\2xcd6wv\qbmw.bat"' (со скрытым окном)
- '%TEMP%\dsc.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\installutil.exe'
- '<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc MINUTE /mo 9 /tr "'%ALLUSERSPROFILE%\Microsoft Toolkit\csrss.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "FH8rcsrss" /sc ONSTART /tr "'%ALLUSERSPROFILE%\Microsoft Toolkit\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "Ox4ucsrss" /sc ONLOGON /tr "'%ALLUSERSPROFILE%\Microsoft Toolkit\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "lGAEcsrss" /sc MINUTE /mo 9 /tr "'%ALLUSERSPROFILE%\Microsoft Toolkit\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "ast" /sc MINUTE /mo 6 /tr "'%ProgramFiles%\sro_client\ast.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "lgC1ast" /sc ONSTART /tr "'%ProgramFiles%\sro_client\ast.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "oRNLast" /sc ONLOGON /tr "'%ProgramFiles%\sro_client\ast.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "JGlMast" /sc MINUTE /mo 7 /tr "'%ProgramFiles%\sro_client\ast.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "ast" /sc MINUTE /mo 10 /tr "'%WINDIR%\Tasks\ast.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "MbIpast" /sc ONSTART /tr "'%WINDIR%\Tasks\ast.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "4xmmast" /sc ONLOGON /tr "'%WINDIR%\Tasks\ast.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "xgh2ast" /sc MINUTE /mo 11 /tr "'%WINDIR%\Tasks\ast.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "Idle" /sc MINUTE /mo 14 /tr "'C:\totalcmd\LANGUAGE\Idle.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "Y2urIdle" /sc ONSTART /tr "'C:\totalcmd\LANGUAGE\Idle.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "19nkIdle" /sc ONLOGON /tr "'C:\totalcmd\LANGUAGE\Idle.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "rleuIdle" /sc MINUTE /mo 13 /tr "'C:\totalcmd\LANGUAGE\Idle.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc MINUTE /mo 10 /tr "'%WINDIR%\addins\WUDFHost.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "RNDmWUDFHost" /sc ONSTART /tr "'%WINDIR%\addins\WUDFHost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "wuBcWUDFHost" /sc ONLOGON /tr "'%WINDIR%\addins\WUDFHost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "aWRwWUDFHost" /sc MINUTE /mo 9 /tr "'%WINDIR%\addins\WUDFHost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "dsc" /sc MINUTE /mo 6 /tr "'C:\totalcmd\LANGUAGE\dsc.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "IJGedsc" /sc ONSTART /tr "'C:\totalcmd\LANGUAGE\dsc.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "rviWdsc" /sc ONLOGON /tr "'C:\totalcmd\LANGUAGE\dsc.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "RlHqdsc" /sc MINUTE /mo 14 /tr "'C:\totalcmd\LANGUAGE\dsc.exe'" /rl HIGHEST /f
- '%WINDIR%\syswow64\cmd.exe' /C "%APPDATA%\2xcd6wv\qbmw.bat"
- '<SYSTEM32>\schtasks.exe' /create /tn "hUU2dsc" /sc MINUTE /mo 6 /tr "'%ProgramFiles%\msn6\dsc.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "mA6Hdsc" /sc ONLOGON /tr "'%ProgramFiles%\msn6\dsc.exe'" /rl HIGHEST /f
