Техническая информация
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\dllhost.exe
следующие пользовательские процессы:
- update-install.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %APPDATA%\opera software\opera stable\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsf9176.tmp\sibuia.dll
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\3ccd5499-87a8-4b10-a215-608888dd3b55.vsch
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\policy.vpol
- %ALLUSERSPROFILE%\sib\{7dc76769-61c3-4fee-9375-e26f8f587fbe}\sibca.dll
- %ALLUSERSPROFILE%\sib\{7dc76769-61c3-4fee-9375-e26f8f587fbe}\sibclr.dll
- %ALLUSERSPROFILE%\sib\{7dc76769-61c3-4fee-9375-e26f8f587fbe}\sib.dat
- %TEMP%\sib92af.tmp\5\steamsetup1.exe
- %TEMP%\sib92af.tmp\5\steamsetup.exe
- %ALLUSERSPROFILE%\microsoft\vault\ac658cb4-9126-49bd-b877-31eedab3f204\2f1a6504-0641-44cf-8bb5-3612d865f2e5.vsch
- %TEMP%\sib92af.tmp\5\steamsetu2.exe
- %TEMP%\sib92af.tmp\3\update-install.exe
- %TEMP%\sib92af.tmp\2\update-2023.ps1
- %TEMP%\9bf0.tmp\9bf1.tmp\9bf2.bat
- %TEMP%\sib92af.tmp\0\parter.cmd
- %TEMP%\sib92af.tmp\0\1click_usb_hddx86-64.exe
- %TEMP%\sib92af.tmp\sibclr.dll
- %TEMP%\sib92af.tmp\sibca.dll
- %TEMP%\qpoyamomxwxhevdsevyxm.exe
- %LOCALAPPDATA%\microsoft\vault\4bf4c442-9b8a-41a0-b380-dd4a704ddb28\policy.vpol
Удаляет следующие файлы
- %TEMP%\sib92af.tmp\3\update-install.exe
- %TEMP%\sib92af.tmp\0\1click_usb_hddx86-64.exe
- %TEMP%\sib92af.tmp\2\update-2023.ps1
- %TEMP%\sib92af.tmp\5\steamsetu2.exe
- %TEMP%\sib92af.tmp\5\steamsetup.exe
- %TEMP%\sib92af.tmp\5\steamsetup1.exe
- %TEMP%\sib92af.tmp\sibca.dll
- %TEMP%\sib92af.tmp\sibclr.dll
- %TEMP%\nsf9176.tmp\sibuia.dll
Сетевая активность
Подключается к
- 'pr######lus.servep2p.com':80
- 'cl######.homesecuritypc.com':80
- 're########update.servesarcasm.com':80
TCP
Запросы HTTP GET
- http://pr######lus.servep2p.com/security/update-install.exe
- http://cl######.homesecuritypc.com/packages/Fylzpkupzaj.png
- http://cl######.homesecuritypc.com/packages/Ltopz.png
- http://catalog.s.download.windowsupdate.com/obbltimese/ver4.api
UDP
- DNS ASK pr######lus.servep2p.com
- DNS ASK cl######.homesecuritypc.com
- DNS ASK re########update.servesarcasm.com
Другое
Создает и запускает на исполнение
- '%TEMP%\sib92af.tmp\0\1click_usb_hddx86-64.exe'
- '%TEMP%\sib92af.tmp\3\update-install.exe' /s
- '%TEMP%\qpoyamomxwxhevdsevyxm.exe'
- '%TEMP%\sib92af.tmp\3\update-install.exe'
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ENC cwB0AGEAcgB0AC0AcwBsAGUAZQBwACAALQBzAGUAYwBvAG4AZABzACAAMwA1AA==' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ENC cwB0AGEAcgB0AC0AcwBsAGUAZQBwACAALQBzAGUAYwBvAG4AZABzACAAMwA1AA==' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c ""parter.cmd" /q"
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\9BF0.tmp\9BF1.tmp\9BF2.bat %TEMP%\sib92AF.tmp\0\1Click_USB_HDDx86-64.exe"
- '<SYSTEM32>\mode.com' con lines=25 cols=85
- '<SYSTEM32>\attrib.exe' +h +s +r bin
- '<SYSTEM32>\attrib.exe' +h +s +r usbboot.bat
- '<SYSTEM32>\cmd.exe' /c wmic path win32_logicaldisktopartition get antecedent, dependent | find /i "X:"
- '<SYSTEM32>\wbem\wmic.exe' path win32_logicaldisktopartition get antecedent, dependent
- '<SYSTEM32>\find.exe' /i "X:"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -file exd.ps1
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -ENC cwB0AGEAcgB0AC0AcwBsAGUAZQBwACAALQBzAGUAYwBvAG4AZABzACAAMwA1AA==
- '%WINDIR%\syswow64\msiexec.exe' /i "C:\" /q
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ENC cwB0AGEAcgB0AC0AcwBsAGUAZQBwACAALQBzAGUAYwBvAG4AZABzACAAMwA1AA==
- '<SYSTEM32>\dllhost.exe'
