Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windowsgoogleupdates
- <SYSTEM32>\tasks\bios security and communication service
- <SYSTEM32>\tasks\windows defender advanced threat protection service
- <SYSTEM32>\tasks\windows firewall engine
Устанавливает следующие настройки сервисов
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SecureBios\Parameters] 'ServiceDll' = '%WINDIR%\SysWOW64\SecureBoiSysprep.dll'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SecureBios] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\SecureBios] 'ImagePath' = '%WINDIR%\SysWOW64\svchost.exe -k CoreSecSvcs'
Создает следующие сервисы
- 'SecureBios' %WINDIR%\SysWOW64\svchost.exe -k CoreSecSvcs
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /im GameOverlayUI.exe /f
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: 'OllyDBg'
Изменения в файловой системе
Создает следующие файлы
- <PATH_SAMPLE>s.exe
- %WINDIR%\temp\fa49eb.tmp
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\62axopq5\vc_redist.x86[1].exe
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\content\69c6f6ec64e114822df688dc12cdd86c
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\metadata\69c6f6ec64e114822df688dc12cdd86c
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\content\7423f88c7f265f0defc08ea88c3bde45_aa1e8580d4ebc816148ce81268683776
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\metadata\7423f88c7f265f0defc08ea88c3bde45_aa1e8580d4ebc816148ce81268683776
- %TEMP%\restawindows.bat
- %LOCALAPPDATA%\gvkaddaq\a2ihfdh4gh8.dll
- %LOCALAPPDATA%\lypuddsmu\rda5pytx.dll
- %LOCALAPPDATA%\gvkaddaq\lib_owcr.dll
- %WINDIR%\syswow64\applicationmodelsoftware.dll
- %LOCALAPPDATA%\usdinafs\owcrclient.exe
- %WINDIR%\syswow64\secureboisysprep.dll
- %TEMP%\jpklwekh\vfljxpyuf.dll
- %LOCALAPPDATA%\gvkaddaq\owcrclient.exe
- %LOCALAPPDATA%\lypuddsmu\mprwvnuvr.dll
- nul
- %TEMP%\jpklwekh\3eugsqqubs5.dll
- %LOCALAPPDATA%\lypuddsmu\lib_owcr.dll
- %LOCALAPPDATA%\lypuddsmu\owcrclient.exe
- %TEMP%\jpklwekh\tkeo4wdpvy.dll
- %TEMP%\jpklwekh\tier0_s.dll
- %TEMP%\jpklwekh\gameoverlayui.exe
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\metadata\6db145cfeec544b1582fed1ada3370dd
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\content\6db145cfeec544b1582fed1ada3370dd
Присваивает атрибут 'скрытый' для следующих файлов
- <PATH_SAMPLE>s.exe
Удаляет следующие файлы
- <PATH_SAMPLE>s.exe
- %TEMP%\jpklwekh\tkeo4wdpvy.dll
- %TEMP%\jpklwekh\3eugsqqubs5.dll
- %LOCALAPPDATA%\lypuddsmu\mprwvnuvr.dll
- <SYSTEM32>\tasks\windowsgoogleupdates
- %TEMP%\jpklwekh\vfljxpyuf.dll
- %WINDIR%\syswow64\applicationmodelsoftware.dll
- %LOCALAPPDATA%\lypuddsmu\rda5pytx.dll
- %LOCALAPPDATA%\gvkaddaq\a2ihfdh4gh8.dll
- <SYSTEM32>\tasks\bios security and communication service
- <SYSTEM32>\tasks\windows defender advanced threat protection service
- <SYSTEM32>\tasks\windows firewall engine
- %TEMP%\jpklwekh\tier0_s.dll
- %LOCALAPPDATA%\lypuddsmu\lib_owcr.dll
- %LOCALAPPDATA%\gvkaddaq\lib_owcr.dll
Сетевая активность
Подключается к
- 'pa###bin.com':443
- '18#.#18.4.153':87
- 'ns#.#nspod.net':6666
TCP
Запросы HTTP GET
- http://18#.##8.4.153:87/deEnc.zip via 18#.#18.4.153
Другие
- 'pa###bin.com':443
- 'ns#.#nspod.net':6666
UDP
- DNS ASK pa###bin.com
- DNS ASK ns#.#nspod.net
Другое
Ищет следующие окна
- ClassName: 'WinDbgFrameClass' WindowName: ''
- ClassName: 'ObsidianGUI' WindowName: ''
- ClassName: 'ID' WindowName: ''
Создает и запускает на исполнение
- '<PATH_SAMPLE>s.exe'
- '%TEMP%\jpklwekh\gameoverlayui.exe'
- '%LOCALAPPDATA%\lypuddsmu\owcrclient.exe'
- '%LOCALAPPDATA%\gvkaddaq\owcrclient.exe'
- '%WINDIR%\temp\fa49eb.tmp' /install /quiet /norestart
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' New-Item HKLM:SYSTEM\CurrentControlSet\Services\SecureBios ;New-Item HKLM:SYSTEM\CurrentControlSet\Services\SecureBios\Parameters; Set-ItemProperty HKLM:SYSTEM\CurrentControlSet\Services\Secure...' (со скрытым окном)
- '%WINDIR%\temp\{e5b0892b-3df2-413d-ba90-d2b41a8cdcba}\.be\vc_redist.x86.exe' -q -burn.elevated BurnPipe.{C0495C73-E358-406C-910B-A88AAB833B37} {9F72C106-809D-416C-8964-F1AEA130C2A8} 2576' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' New-Item HKLM:SYSTEM\CurrentControlSet\Services\SecureBios ;New-Item HKLM:SYSTEM\CurrentControlSet\Services\SecureBios\Parameters; Set-ItemProperty HKLM:SYSTEM\CurrentControlSet\Services\Secure...
- '%WINDIR%\syswow64\timeout.exe' 8
- '%WINDIR%\syswow64\ping.exe' -n 10 127.0.0.1
- '%WINDIR%\syswow64\cmd.exe' ping -n 10 127.0.0.1 >nul & del "%TEMP%\jpKlweKh\tier0_s.dll" /f & exit
- '%WINDIR%\syswow64\ping.exe' -n 60 127.0.0.1
- '%WINDIR%\syswow64\cmd.exe' timeout 8 & taskkill /im GameOverlayUI.exe /f & exit
- '%WINDIR%\syswow64\cmd.exe' ping -n 10 127.0.0.1 >nul & rmdir /Q /S "%LOCALAPPDATA%\LyPuDDsmU\" & exit
- '%WINDIR%\syswow64\cmd.exe' ping -n 10 127.0.0.1 >nul & rmdir /Q /S "%LOCALAPPDATA%\UsDinAFS\" & exit
- '%WINDIR%\syswow64\ping.exe' -n 90 127.0.0.1
- '%WINDIR%\syswow64\ping.exe' -n 30 127.0.0.1
- '%WINDIR%\syswow64\cmd.exe' ping -n 10 127.0.0.1 >nul & rmdir /Q /S "%LOCALAPPDATA%\GVkadDAQ\" & exit
- '%WINDIR%\syswow64\cmd.exe' ping -n 60 127.0.0.1 >nul & del "%TEMP%\jpKlweKh\vfLJxPyUF.dll" /f & exit
- '%WINDIR%\syswow64\cmd.exe' ping -n 60 127.0.0.1 >nul & rmdir /Q /S "%TEMP%\jpKlweKh\" & exit
- '%WINDIR%\syswow64\cmd.exe' ping -n 90 127.0.0.1 >nul & del "%TEMP%\jpKlweKh\GameOverlayUI.exe" /f & exit
- '%WINDIR%\syswow64\cmd.exe' ping -n 600 127.0.0.1 >nul & del "%LOCALAPPDATA%\GVkadDAQ\A2IHFDH4gh8.dll" /f & exit
- '%WINDIR%\syswow64\cmd.exe' ping -n 600 127.0.0.1 >nul & del "%LOCALAPPDATA%\LyPuDDsmU\rDA5PYtX.dll" /f & exit
- '%WINDIR%\syswow64\cmd.exe' ping -n 600 127.0.0.1 >nul & del "%TEMP%\jpKlweKh\vfLJxPyUF.dll" /f & exit
- '%WINDIR%\syswow64\cmd.exe' ping -n 600 127.0.0.1 >nul & rmdir /Q /S "%LOCALAPPDATA%\UsDinAFS\" & exit
- '%WINDIR%\syswow64\cmd.exe' ping -n 600 127.0.0.1 >nul & del "%LOCALAPPDATA%\LyPuDDsmU\MPrwvnUvR.dll" /f & exit
- '%WINDIR%\syswow64\svchost.exe' -k CoreSecSvcs
- '%WINDIR%\syswow64\cmd.exe' ping -n 600 127.0.0.1 >nul & rmdir /Q /S "%LOCALAPPDATA%\GVkadDAQ\" & exit
- '%WINDIR%\syswow64\cmd.exe' ping -n 600 127.0.0.1 >nul & del "%TEMP%\jpKlweKh\3EugSQquBs5.dll" /f & exit
- '%WINDIR%\syswow64\ping.exe' -n 600 127.0.0.1
- '%WINDIR%\syswow64\cmd.exe' ping -n 600 127.0.0.1 >nul & rmdir /Q /S "%LOCALAPPDATA%\LyPuDDsmU\" & exit
- '%WINDIR%\syswow64\cmd.exe' ping -n 600 127.0.0.1 >nul & del "%TEMP%\jpKlweKh\TKEO4Wdpvy.dll" /f & exit
- '%WINDIR%\syswow64\cmd.exe' ping -n 30 127.0.0.1 >nul & rmdir /Q /S "%LOCALAPPDATA%\bililive\" & exit
- '<SYSTEM32>\wusa.exe' "%ALLUSERSPROFILE%\Package Cache\54050A5F8AE7F0C56E553F0090146C17A1D2BF8D\packages\Patch\x64\Windows6.1-KB2999226-x64.msu" /quiet /norestart
