Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\oncdkpm
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%WINDIR%\Microsoft.NET\Framework64\v4.0.30319\WinRing0x64.sys'
Создает следующие сервисы
- 'WinRing0_1_2_0' %WINDIR%\Microsoft.NET\Framework64\v4.0.30319\WinRing0x64.sys
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework64\v4.0.30319\vbc.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\dcratbuild.exe
- %TEMP%\dietape.cmd
- %TEMP%\rrrjeenwek.exe
- nul
- C:\reviewcommon\ls3icczo5ntzct0lz3kuu.bat
- C:\reviewcommon\containercommon.exe
- C:\reviewcommon\ixotrhmbouruo.vbe
- %ALLUSERSPROFILE%\fasadsqw\oncdkpm.exe
- %TEMP%\tmp273e.tmp.bat
- %ALLUSERSPROFILE%\fasadsqw\xmr.exe
- %ALLUSERSPROFILE%\screen.jpg
Присваивает атрибут 'скрытый' для следующих файлов
- %ALLUSERSPROFILE%\fasadsqw\oncdkpm.exe
- %ALLUSERSPROFILE%\fasadsqw\xmr.exe
Сетевая активность
Подключается к
- 'mi######tvisualstudio.wtf':80
- 'po##.#ashvault.pro':5555
TCP
Запросы HTTP POST
- http://mi######tvisualstudio.wtf/dl.php
- http://mi######tvisualstudio.wtf/main.php
Другие
- 'po##.#ashvault.pro':5555
UDP
- DNS ASK mi######tvisualstudio.wtf
- DNS ASK po##.#ashvault.pro
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
- ClassName: '' WindowName: 'Task Manager'
- ClassName: '' WindowName: 'Диспетчер задач'
Создает и запускает на исполнение
- '%TEMP%\dcratbuild.exe'
- '%TEMP%\rrrjeenwek.exe'
- '%WINDIR%\syswow64\wscript.exe' "C:\reviewcommon\IXOtRhMBOUruO.vbe"
- 'C:\reviewcommon\containercommon.exe'
- '%ALLUSERSPROFILE%\fasadsqw\oncdkpm.exe'
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\reviewcommon\lS3IccZO5NTZcT0lz3KuU.bat" "' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc MINUTE /mo 5 /RL HIGHEST /tn "ONCDKPM" /tr "%ALLUSERSPROFILE%\fasadsqw\ONCDKPM.exe"' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\dietape.cmd" "
- '%WINDIR%\syswow64\timeout.exe' /t 1 /nobreak
- '%WINDIR%\syswow64\timeout.exe' /t 3 /nobreak
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\tmp273E.tmp.bat""
- '<SYSTEM32>\timeout.exe' 3
- '%WINDIR%\syswow64\timeout.exe' /t 2 /nobreak
- '%WINDIR%\syswow64\cmd.exe' /c ""C:\reviewcommon\lS3IccZO5NTZcT0lz3KuU.bat" "
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc MINUTE /mo 5 /RL HIGHEST /tn "ONCDKPM" /tr "%ALLUSERSPROFILE%\fasadsqw\ONCDKPM.exe"
- '<SYSTEM32>\schtasks.exe' /create /f /sc MINUTE /mo 5 /RL HIGHEST /tn "ONCDKPM" /tr "%ALLUSERSPROFILE%\fasadsqw\ONCDKPM.exe"
- '%WINDIR%\syswow64\timeout.exe' /t 5 /nobreak
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\vbc.exe' -a cryptonight-heavy --url=pool.hashvault.pro:5555 -u 47r8moEgDhQ6G3fE7j55y8DVtArt9jqxdXsosfzmh6fQ3a9gJW6WmxL7xSa3n1u2i1GG5yETB7vdbXzocHbyrKK9RTcsnPB -R --variant=-1 --max-cpu-usage=50 --donate...
