Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows\CurrentVersion\Run] 'adobe' = '"%APPDATA%\Microsoft\Windows\Start Menu\Programs\adobe.exe"'
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- 'C:\users\public\regasm_svchost.exe'
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\syswow64\autochk.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\regasm_svchost.exe
- %APPDATA%\microsoft\windows\start menu\programs\adobe.exe
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
- %TEMP%\ujoh06tx.zip
- %TEMP%\sqlite3.def
- %TEMP%\sqlite3.dll
- %TEMP%\616pgq4m
Сетевая активность
Подключается к
- '19#.#27.173.23':80
- 'sm####parent.org':80
- 'ca###eroes.info':80
- 'ke###tobbe.com':80
- 'ze####autosoft.info':80
- 'an###bit.com':80
- 'sq##te.org':80
- '68###oc0.com':80
- 'um###llajis.xyz':80
- 'se#####ebotanica.com':80
TCP
Запросы HTTP GET
- http://19#.#27.173.23/obs/Biny.exe
- http://19#.#27.173.23/Biny_Udsfsvio.png
- http://www.sm####parent.org/z5ez/?K4##########################################################################################################################
- http://www.ca###eroes.info/z5ez/?K4##########################################################################################################################
- http://www.ke###tobbe.com/z5ez/?K4##########################################################################################################################
- http://www.ze####autosoft.info/z5ez/?K4##########################################################################################################################
- http://www.an###bit.com/z5ez/?K4##########################################################################################################################
- http://www.sq##te.org/2014/sqlite-dll-win32-x86-3080600.zip
- http://www.68###oc0.com/z5ez/?K4##########################################################################################################################
- http://www.um###llajis.xyz/z5ez/?K4##########################################################################################################################
- http://www.se#####ebotanica.com/z5ez/?K4##########################################################################################################################
UDP
- DNS ASK sm####parent.org
- DNS ASK ca###eroes.info
- DNS ASK ke###tobbe.com
- DNS ASK ze####autosoft.info
- DNS ASK vi###ge700.com
- DNS ASK an###bit.com
- DNS ASK sq##te.org
- DNS ASK re##go.site
- DNS ASK 68###oc0.com
- DNS ASK um###llajis.xyz
- DNS ASK se#####ebotanica.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -enc UwB0AGEAcgB0AC0AUwBsAGUAZQBwACAALQBTAGUAYwBvAG4AZABzACAAMgAwAA==' (со скрытым окном)
Запускает на исполнение
- '%CommonProgramFiles%\microsoft shared\equation\eqnedt32.exe' -Embedding
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -enc UwB0AGEAcgB0AC0AUwBsAGUAZQBwACAALQBTAGUAYwBvAG4AZABzACAAMgAwAA==
- '%WINDIR%\syswow64\cmmon32.exe'
- '%ProgramFiles(x86)%\mozilla firefox\firefox.exe'
