Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\googleupdatetaskmachineup
Устанавливает следующие настройки сервисов
- [<HKLM>\System\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%APPDATA%\Google\Libs\WR64.sys'
Создает следующие сервисы
- 'WinRing0_1_2_0' %APPDATA%\Google\Libs\WR64.sys
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\nslookup.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\google\chrome\up.exe
- %TEMP%\yssulkcp.tmp
- %APPDATA%\google\libs\wr64.sys
- %APPDATA%\google\libs\g.log
Удаляет следующие файлы
- %TEMP%\yssulkcp.tmp
Подменяет следующие файлы
- %TEMP%\yssulkcp.tmp
Самоудаляется.
Сетевая активность
Подключается к
- '19#.#2.33.162':80
- 'xm#.#miners.com':12222
TCP
Запросы HTTP POST
- http://19#.#2.33.162/upan/api/enpoint.php
Другие
- 'xm#.#miners.com':12222
UDP
- DNS ASK xm#.#miners.com
- DNS ASK rv#.#miners.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' <#imqbag#> IF((New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent())).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)) { schtasks /...
- '%APPDATA%\google\chrome\up.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' <#ylcmj#> IF((New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent())).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)) { IF([System....
- '%APPDATA%\google\chrome\up.exe' ' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c powercfg /x -hibernate-timeout-ac 0 & powercfg /x -hibernate-timeout-dc 0 & powercfg /x -standby-timeout-ac 0 & powercfg /x -standby-timeout-dc 0
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' <#ylcmj#> IF((New-Object Security.Principal.WindowsPrincipal([Security.Principal.WindowsIdentity]::GetCurrent())).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)) { IF([System....
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
- '<SYSTEM32>\schtasks.exe' /create /f /sc onlogon /rl highest /tn GoogleUpdateTaskMachineUP /tr '%APPDATA%\Google\Chrome\up.exe'
- '<SYSTEM32>\cmd.exe' /c choice /C Y /N /D Y /T 3 & Del "<Полный путь к файлу>"
- '<SYSTEM32>\choice.exe' /C Y /N /D Y /T 3
- '<SYSTEM32>\schtasks.exe' /run /tn GoogleUpdateTaskMachineUP
- '<SYSTEM32>\taskeng.exe' {3AF3B03E-35E4-420D-9FAA-5615310F3F3A} S-1-5-21-1960123792-2022915161-3775307078-1001:taueteaqlrgh\user:Interactive:[1]
- '<SYSTEM32>\cmd.exe' /c wmic PATH Win32_VideoController GET Name, VideoProcessor > "%APPDATA%\Google\Libs\g.log"
- '<SYSTEM32>\wbem\wmic.exe' PATH Win32_VideoController GET Name, VideoProcessor
- '<SYSTEM32>\nslookup.exe' qgjbsnefoodvzymi 6E3sjfZq2rJQaxvLPmXgsA4f0StS9pic9Xw++oZ1mnbMNdSoXP4ts/KtNDhUPQkUMKfA+xGfQNOgQP4qoyTr4btLqjQGtw9bEHA2SrkJ6yUqut5Jj6IbOM451NRB12zECX6nqw+tZV6f9vNLvvLQUZAhcrFvVCCxErWkpCzVUms0ERRY...
