Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [\REGISTRY\USER\S-1-5-21-1238866942-1249195528-555854008-1000\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"%WINDIR%\rss\csrss.exe"'
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\VBoxWddm] 'ImagePath' = 'VBoxWddm'
- [HKLM\System\CurrentControlSet\Services\VBoxSF] 'ImagePath' = 'VBoxSF'
- [HKLM\System\CurrentControlSet\Services\VBoxMouse] 'ImagePath' = 'VBoxMouse'
- [HKLM\System\CurrentControlSet\Services\VBoxGuest] 'ImagePath' = 'VBoxGuest'
- [HKLM\System\CurrentControlSet\Services\VBoxService] 'ImagePath' = 'VBoxService'
- [HKLM\System\CurrentControlSet\Services\VBoxVideo] 'ImagePath' = 'VBoxVideo'
Создает следующие сервисы
- 'VBoxWddm' VBoxWddm
- 'VBoxSF' VBoxSF
- 'VBoxMouse' VBoxMouse
- 'VBoxGuest' VBoxGuest
- 'VBoxService' VBoxService
- 'VBoxVideo' VBoxVideo
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса с помощью следующих ключей реестра:
- [HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\rss' = '00000000'
- [HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] 'C:\Users\user\AppData\Local\Temp\csrss' = '00000000'
- [HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\windefender.exe' = '00000000'
- [HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '<DRIVERS>' = '00000000'
- [HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Processes] 'csrss.exe' = '00000000'
- [HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Processes] 'windefender.exe' = '00000000'
- [HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Processes] '<Имя файла>.exe' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive1.dat
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\80237ee4964fc9c409aaf55bf996a292_c0427f5f77d9b3a439fc620edaab6177
- D:\users\user\appdata\local\temp\cababf7.tmp
- D:\users\user\appdata\local\temp\tarabf8.tmp
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\94308059b57b3142e455b38a6eb92015
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\80237ee4964fc9c409aaf55bf996a292_d46d6fa25b74360e1349f9015b5cce53
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\80237ee4964fc9c409aaf55bf996a292_d46d6fa25b74360e1349f9015b5cce53
- D:\users\user\appdata\local\temp\symbols\ntkrnlmp.pdb\3844dbb920174967be7aa4a2c20430fa2\download.error
- D:\windows\system32\winevt\logs\system.evtx
- D:\windows\system32\config\components.log1
- D:\windows\system32\config\components
- D:\windows\system32\winevt\logs\security.evtx
- D:\windows\system32\config\default.log1
- D:\windows\system32\config\default
- D:\windows\system32\winevt\logs\microsoft-windows-networkprofile%4operational.evtx
- D:\windows\system32\winevt\logs\application.evtx
- D:\windows\system32\winevt\logs\microsoft-windows-windows firewall with advanced security%4firewall.evtx
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\ea618097e393409afa316f0f87e2c202_1e65fd33f74047223af4d58cbfd34bce
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\ea618097e393409afa316f0f87e2c202_1e65fd33f74047223af4d58cbfd34bce
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\c46e7b0f942663a1edc8d9d6d7869173_6043fc604a395e1485af7ac16d16b7ce
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\c46e7b0f942663a1edc8d9d6d7869173_6043fc604a395e1485af7ac16d16b7ce
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\b3bb9c1ba2d19e090ae305b2683903a0_b89a63ac6877bd1ed812438ce82c3eb8
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\metadata\80237ee4964fc9c409aaf55bf996a292_c0427f5f77d9b3a439fc620edaab6177
- D:\users\user\appdata\locallow\microsoft\cryptneturlcache\content\b3bb9c1ba2d19e090ae305b2683903a0_b89a63ac6877bd1ed812438ce82c3eb8
- D:\system volume information\syscache.hve
- D:\users\user\appdata\local\temp\osloader.exe
- D:\windows\system32\config\software.log1
- D:\windows\system32\config\software
- D:\windows\system32\config\system.log1
- D:\windows\system32\config\system
- D:\windows\logs\cbs\cbs.log
- D:\users\user\ntuser.dat.log1
- D:\users\user\ntuser.dat
- D:\windows\rss\csrss.exe
- D:\windows\appcompat\programs\recentfilecache.bcf
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat.log1
- D:\users\user\appdata\local\microsoft\windows\usrclass.dat
- nul
- D:\windows\system32\config\security.log1
- D:\windows\system32\config\security
- D:\windows\system32\tasks\csrss
- D:\users\user\appdata\local\temp\csrss\patch.exe
- D:\users\user\appdata\local\temp\csrss\injector\injector.exe
- D:\users\user\appdata\local\temp\csrss\injector\ntquerysysteminformationhook.dll
- D:\users\user\appdata\local\temp\dbghelp.dll
- D:\users\user\appdata\local\temp\symsrv.dll
- D:\users\user\appdata\local\temp\ntkrnlmp.exe
- D:\system volume information\syscache.hve.log1
- D:\windows\serviceprofiles\localservice\appdata\local\lastalive0.dat
Удаляет следующие файлы
- D:\users\user\appdata\local\temp\cababf7.tmp
- D:\users\user\appdata\local\temp\tarabf8.tmp
Перемещает следующие файлы
- D:\users\user\appdata\local\temp\symbols\ntkrnlmp.pdb\3844dbb920174967be7aa4a2c20430fa2\download.error в D:\users\user\appdata\local\temp\symbols\ntkrnlmp.pdb\3844dbb920174967be7aa4a2c20430fa2\ntkrnlmp.pdb
Подменяет следующие файлы
- D:\users\user\appdata\local\temp\symbols\ntkrnlmp.pdb\3844dbb920174967be7aa4a2c20430fa2\download.error
Сетевая активность
Подключается к
- 'msdl.microsoft.com':443
- 'vs###########ssu5shard10.blob.core.windows.net':443
TCP
Другие
- 'msdl.microsoft.com':443
- 'vs###########ssu5shard10.blob.core.windows.net':443
UDP
- DNS ASK e8##########################b9ec0ae2.uuid.dg2sz7pxs7llf2t25fsbutlvvrjij4pmojugn75cmxnvoshmju6dzcad.onion
- DNS ASK msdl.microsoft.com
- DNS ASK vs###########ssu5shard10.blob.core.windows.net
Другое
Добавляет корневой сертификат
Ищет следующие окна
- ClassName: 'SystemTray_Main' WindowName: ''
Создает и запускает на исполнение
- 'D:\windows\rss\csrss.exe'
- 'D:\users\user\appdata\local\temp\csrss\injector\injector.exe' taskmgr.exe C:\Users\user\AppData\Local\Temp\csrss\injector\NtQuerySystemInformationHook.dll
- 'D:\users\user\appdata\local\temp\csrss\patch.exe'
- 'D:\windows\system32\cmd.exe' /C "netsh advfirewall firewall add rule name="csrss" dir=in action=allow program="%WINDIR%\rss\csrss.exe" enable=yes"' (со скрытым окном)
- 'D:\windows\rss\csrss.exe' ' (со скрытым окном)
- 'D:\windows\system32\schtasks.exe' /CREATE /SC ONLOGON /RL HIGHEST /TR "%WINDIR%\rss\csrss.exe" /TN csrss /F' (со скрытым окном)
- 'D:\windows\system32\schtasks.exe' /delete /tn ScheduledUpdate /f' (со скрытым окном)
- 'D:\users\user\appdata\local\temp\csrss\injector\injector.exe' taskmgr.exe C:\Users\user\AppData\Local\Temp\csrss\injector\NtQuerySystemInformationHook.dll' (со скрытым окном)
- 'D:\users\user\appdata\local\temp\csrss\patch.exe' ' (со скрытым окном)
