Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\st-task
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="FTP Sys64" program="<SYSTEM32>\ftp.exe" protocol=tcp dir=in enable=yes action=allow profile=Private,Public
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall add rule name="FTP Sys32" program="%WINDIR%\SysWOW64\ftp.exe" protocol=tcp dir=in enable=yes action=allow profile=Private,Public
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\syswow64\reg.exe
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\ls\abc9007
- %ALLUSERSPROFILE%\ls\nircmd.exe
- %ALLUSERSPROFILE%\ls\lspush.exe
- %ALLUSERSPROFILE%\ls\add.ftp.fw.bat
- %ALLUSERSPROFILE%\ls\psinfo.exe
- %ALLUSERSPROFILE%\ls\ls.bat
- %ALLUSERSPROFILE%\ls\cap nhat ten may tinh.vbs
- %ALLUSERSPROFILE%\ls\update_info_022021.vbs
- %ALLUSERSPROFILE%\ls\ls.exe
- %ALLUSERSPROFILE%\ls\add pcname.vbs
- %ALLUSERSPROFILE%\ls\log.txt
Сетевая активность
UDP
- DNS ASK re#####r1.opendns.com
- DNS ASK 22#.###.67.208.in-addr.arpa
- DNS ASK my##.#pendns.com
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%ALLUSERSPROFILE%\ls\ls.exe'
- '%WINDIR%\syswow64\wscript.exe' "%ALLUSERSPROFILE%\LS\update_info_022021.vbs"
- '%ALLUSERSPROFILE%\ls\nircmd.exe' exec hide "%ALLUSERSPROFILE%\LS\ls.bat"
- '%ALLUSERSPROFILE%\ls\nircmd.exe' exec hide "%ALLUSERSPROFILE%\LS\add.ftp.fw.bat"
- '%ALLUSERSPROFILE%\ls\nircmd.exe' exec hide "%ALLUSERSPROFILE%\LS\ftp.bat"
- '%WINDIR%\syswow64\wscript.exe' "%ALLUSERSPROFILE%\LS\update_info_022021.vbs" /elevate
- '%ALLUSERSPROFILE%\ls\psinfo.exe' -d
- '%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\LS\add.ftp.fw.bat""' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\LS\ls.bat""' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\schtasks.exe' /Create /TN ST-Task /SC Daily /ST 09:00 /TR "%ALLUSERSPROFILE%\LS\ls.exe" /F
- '%WINDIR%\syswow64\wscript.exe' "%ALLUSERSPROFILE%\LS\add PCname.vbs"
- '%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\LS\add.ftp.fw.bat""
- '%WINDIR%\syswow64\cmd.exe' /c ""%ALLUSERSPROFILE%\LS\ls.bat""
- '%WINDIR%\syswow64\cmd.exe' /c date /t
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name="FTP Sys64"
- '%WINDIR%\syswow64\hostname.exe'
- '%WINDIR%\syswow64\reg.exe' query HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\TeamViewer /v ClientID
- '%WINDIR%\syswow64\nslookup.exe' myip.opendns.com. resolver1.opendns.com
- '%WINDIR%\syswow64\find.exe' "ClientID"
- '%WINDIR%\syswow64\reg.exe' query HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\TeamViewer\Version9 /v ClientID
- '%WINDIR%\syswow64\reg.exe' query HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\TeamViewer\Version10 /v ClientID
- '%WINDIR%\syswow64\netsh.exe' advfirewall firewall delete rule name="FTP Sys32"
