Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [<HKLM>\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SecHealthUI.exe] 'Debugger' = '<SYSTEM32>\taskkill.exe'
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\com1096] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\com1096] 'ImagePath' = '%TEMP%\sc.exe'
- [<HKLM>\System\CurrentControlSet\Services\WinSerNetwork] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\WinSerNetwork] 'ImagePath' = '%WINDIR%\WinSysNet.exe'
- [<HKLM>\System\CurrentControlSet\Services\com2097] 'Start' = '00000002'
- [<HKLM>\System\CurrentControlSet\Services\com2097] 'ImagePath' = '%WINDIR%\TEMP\socmxz.exe'
Создает следующие сервисы
- 'com1096' %TEMP%\sc.exe
- 'WinSerNetwork' %WINDIR%\WinSysNet.exe
- 'com2097' %WINDIR%\TEMP\socmxz.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
добавляет исключения антивируса с помощью следующих ключей реестра::
- [<HKLM>\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%' = '00000000'
Создает и запускает на исполнение
- '' (загружен из сети Интернет)
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\winlogon.exe
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\temp\socmxz.exe
- %WINDIR%\temp\nbr32.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\microsoft\windows\system32\install_wim_tweak.exe
- %WINDIR%\syswow64\winsvc32.exe
- <SYSTEM32>\winsvc32.exe
- <SYSTEM32>\msactive64.dll
- %WINDIR%\temp\socmxz.exe
- %WINDIR%\temp\nbr32.exe
- %WINDIR%\temp\_uninsep.bat
- %WINDIR%\temp\asdx64.exe
- %WINDIR%\syswow64\waxsvc32.dll
- %WINDIR%\winsysnet.exe
- %TEMP%\sc.exe
- %TEMP%\unmtotal.bat
- %TEMP%\sototal.exe
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012022102920221030\index.dat
- C:\aa.exe
- %APPDATA%\microsoft\windows\system32\asetup.exe
- %APPDATA%\microsoft\windows\system32\remove.cmd
- %WINDIR%\localconfig.dat
- %WINDIR%\temp\winupdate64.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\localconfig.dat
- %WINDIR%\winsysnet.exe
- <SYSTEM32>\msactive64.dll
- <SYSTEM32>\winsvc32.exe
- %WINDIR%\syswow64\winsvc32.exe
- %WINDIR%\syswow64\waxsvc32.dll
Удаляет следующие файлы
- %APPDATA%\microsoft\windows\system32\asetup.exe
- %APPDATA%\microsoft\windows\system32\install_wim_tweak.exe
- %APPDATA%\microsoft\windows\system32\remove.cmd
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012022102920221030\index.dat
- C:\aa.exe
- %TEMP%\sototal.exe
- %TEMP%\sc.exe
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\t5levnel\aa[1].dat
- %WINDIR%\temp\asdx64.exe
Подменяет следующие файлы
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012022102920221030\index.dat
Сетевая активность
Подключается к
- '09###234.com':80
- 'co###612.com':80
- '45.#7.11.31':7051
TCP
Запросы HTTP GET
- http://09###234.com/11111/x5.exe
- http://09###234.com/11111/x5/aso64.exe
- http://co###612.com/0109x5/aa.dat
Другие
- '45.#7.11.31':7051
UDP
- DNS ASK 09###234.com
- DNS ASK co###612.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\winsysnet.exe'
- '%APPDATA%\microsoft\windows\system32\asetup.exe'
- '%WINDIR%\temp\nbr32.exe' 7
- 'C:\aa.exe'
- '%TEMP%\sototal.exe'
- '%WINDIR%\temp\socmxz.exe'
- '%TEMP%\sc.exe'
- '%TEMP%\sototal.exe' 7
- '%WINDIR%\temp\winupdate64.exe'
- '%WINDIR%\temp\nbr32.exe'
- '%WINDIR%\temp\asdx64.exe'
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\TEMP\_uninsep.bat" "' (со скрытым окном)
- '%WINDIR%\temp\socmxz.exe' ' (со скрытым окном)
- '%WINDIR%\temp\nbr32.exe' ' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /k %APPDATA%\Microsoft\Windows\System32\Remove.cmd' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc delete audiodg' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /k %APPDATA%\Microsoft\Windows\System32\aSetup.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\unmtotal.bat" "' (со скрытым окном)
- '%TEMP%\sototal.exe' ' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /k c:\aa.exe' (со скрытым окном)
- '%WINDIR%\winsysnet.exe' ' (со скрытым окном)
- '%TEMP%\sc.exe' ' (со скрытым окном)
- '%WINDIR%\temp\winupdate64.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /k %APPDATA%\Microsoft\Windows\System32\Remove.cmd
- '<SYSTEM32>\cmd.exe' /c ""%WINDIR%\TEMP\_uninsep.bat" "
- '%WINDIR%\syswow64\cmd.exe' /c ""%TEMP%\unmtotal.bat" "
- '<SYSTEM32>\cmd.exe' /c del /q %APPDATA%\Microsoft\Windows\System32\*
- '<SYSTEM32>\cmd.exe' /k c:\aa.exe
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\SecHealthUI.exe" /v Debugger /t REG_SZ /d "<SYSTEM32>\taskkill.exe" /f
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\StartupApproved\Run" /v "SecurityHealth" /f
- '<SYSTEM32>\reg.exe' delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run" /v "SecurityHealth" /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\MRT" /v "DontOfferThroughWUAU" /t REG_DWORD /d 1 /f
- '<SYSTEM32>\cmd.exe' /k %APPDATA%\Microsoft\Windows\System32\aSetup.exe
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\MRT" /v "DontReportInfectionInformation" /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\SecurityHealthService" /f
- '<SYSTEM32>\reg.exe' delete "HKLM\SYSTEM\CurrentControlSet\Services\Sense" /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Spynet" /v DontReportInfectionInformation /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Spynet" /v SubmitSamplesConsent /t REG_DWORD /d 2 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Spynet" /v SpyNetReporting /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Policies\Microsoft\Windows Defender" /v DisableAntiSpyware /t REG_DWORD /d 1 /f
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Classes\Local Settings\Software\Microsoft\Windows\CurrentVersion\AppContainer\Storage\microsoft.microsoftedge_8wekyb3d8bbwe\MicrosoftEdge\PhishingFilter" /v "EnabledV9" /t RE...
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\AppHost" /v "EnableWebContentEvaluation" /t REG_DWORD /d "0" /f
- '<SYSTEM32>\reg.exe' add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer" /v SmartScreenEnabled /t REG_SZ /d "Off" /f
- '<SYSTEM32>\cmd.exe' /c sc delete audiodg
- '<SYSTEM32>\sc.exe' delete audiodg
