Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windows security
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%APPDATA%\Microsoft\Security\WinRing0x64.sys'
Создает следующие сервисы
- 'WinRing0_1_2_0' %APPDATA%\Microsoft\Security\WinRing0x64.sys
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /PID 2624
Внедряет код в
следующие пользовательские процессы:
- c.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\microsoft\security\windows security.exe
- nul
- %TEMP%\tmpacf1.vbs
- %APPDATA%\microsoft\security\c.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\microsoft\security\windows security.exe
- %APPDATA%\microsoft\security\c.exe
Удаляет следующие файлы
- %TEMP%\tmpacf1.vbs
Самоудаляется.
Сетевая активность
Подключается к
- '19#.#33.48.87':27941
- 'po##.#ashvault.pro':80
TCP
Запросы HTTP GET
- http://19#.##3.48.87:27941/c/ via 19#.#33.48.87
Запросы HTTP POST
- http://19#.##3.48.87:27941/ via 19#.#33.48.87
Другие
- 'po##.#ashvault.pro':80
UDP
- DNS ASK po##.#ashvault.pro
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: 'SHELLDLL_DefView' WindowName: ''
- ClassName: 'SysListView32' WindowName: 'FolderView'
Создает и запускает на исполнение
- '%APPDATA%\microsoft\security\windows security.exe'
- '<SYSTEM32>\cscript.exe' //nologo %TEMP%\tmpACF1.vbs
- '%APPDATA%\microsoft\security\c.exe' --coin=XMR --url pool.hashvault.pro:80 --user 42CzrSj7VTyRt1GB5tERnaSBJSEBJanQVgErPXHmBhCWQ3hzpvfFJUvAVommbRU65dKYyGRK2pHZdcHBE41nEQ13FoARFM6 --pass kekso --donate-level 1 --tls --tls-fingerpri...
- '<SYSTEM32>\cmd.exe' /c "%APPDATA%\Microsoft\Security\Windows Security.exe"' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /F /PID 2624 & powershell -command "$ErrorActionPreference= 'silentlycontinue'; (Get-WmiObject Win32_Process | Where-Object { $_.Path.StartsWith('<Полный путь к файлу>') }).Terminat...' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c @echo off & echo const TriggerTypeLogon=9 : const ActionTypeExecutable=0 : const TASK_LOGON_INTERACTIVE_TOKEN=3 : const createOrUpdateTask=6 : Set service=CreateObject("Schedule.Service") : ...' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%APPDATA%\Microsoft\Security\Windows Security.exe"
- '<SYSTEM32>\cmd.exe' /c taskkill /F /PID 2624 & powershell -command "$ErrorActionPreference= 'silentlycontinue'; (Get-WmiObject Win32_Process | Where-Object { $_.Path.StartsWith('<Полный путь к файлу>') }).Terminat...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -command "$ErrorActionPreference= 'silentlycontinue'; (Get-WmiObject Win32_Process | Where-Object { $_.Path.StartsWith('<Полный путь к файлу>') }).Terminate()"
- '<SYSTEM32>\timeout.exe' 3
- '<SYSTEM32>\cmd.exe' /c @echo off & echo const TriggerTypeLogon=9 : const ActionTypeExecutable=0 : const TASK_LOGON_INTERACTIVE_TOKEN=3 : const createOrUpdateTask=6 : Set service=CreateObject("Schedule.Service") : ...
- '<SYSTEM32>\cmd.exe' /c "%APPDATA%\Microsoft\Security\c.exe" --coin=XMR --url pool.hashvault.pro:80 --user 42CzrSj7VTyRt1GB5tERnaSBJSEBJanQVgErPXHmBhCWQ3hzpvfFJUvAVommbRU65dKYyGRK2pHZdcHBE41nEQ13FoARFM6 --pass keks...
