Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'SysHelper' = '"%LOCALAPPDATA%\1c8ea5c2-9107-4a4b-866a-cce3e9326ed8\77FD.exe" --AutoStart'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefox default browser agent 9ae6e69d55651246
- <SYSTEM32>\tasks\time trigger task
- <SYSTEM32>\tasks\firefox default browser agent 0ba7932d2f326f4d
- <SYSTEM32>\tasks\oneetx.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramFiles) -Force
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\bgwcegu
- %TEMP%\734b.exe
- %TEMP%\77fd.exe
- %LOCALAPPDATA%\1c8ea5c2-9107-4a4b-866a-cce3e9326ed8\77fd.exe
- %TEMP%\b443.exe
- %TEMP%\oldplayer.exe
- %TEMP%\ss31.exe
- %TEMP%\c2d4.exe
- %TEMP%\xandetc.exe
- %TEMP%\10180c8ca3\oneetx.exe
- %TEMP%\d09b.exe
- %APPDATA%\shwcegu
- %TEMP%\e4a8.exe
- C:\systemid\personalid.txt
- %TEMP%\6c9d.exe
- %TEMP%\85f8.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\bgwcegu
- %APPDATA%\shwcegu
Удаляет следующие файлы
- <SYSTEM32>\tasks\time trigger task
- %TEMP%\734b.exe
Самоудаляется.
Сетевая активность
Подключается к
- 'po###ulit.org':80
- 'ca####alhotel.ro':443
- '45.#.74.80':80
- 'ap#.2ip.ua':443
- 'ua##y.top':80
- 'ze##q.com':80
- 'bz.###eioaag.com':80
- '77.##.134.27':80
- 'aa#u.at':80
- 'fi####rusteedrx.ru':80
- 'ki###irate.ru':80
- 'ki###irate.ru':443
- 'fa###ook.com':443
TCP
Запросы HTTP GET
- http://45.#.74.80/power.exe
- http://ua##y.top/dl/build2.exe
- http://ze##q.com/lancer/get.php?pi#############################################
- http://ze##q.com/files/1/build3.exe
- http://bz.###eioaag.com/sts/cimage.jpg
- http://ze##q.com/lancer/get.php?pi##############################################
Запросы HTTP POST
- http://77.##.134.27/n9kdjc3xSf/index.php
- http://aa#u.at/tmp/
- http://fi####rusteedrx.ru/tmp/
- http://ki###irate.ru/tmp/
- http://po###ulit.org/
Другие
- 'ca####alhotel.ro':443
- 'ap#.2ip.ua':443
- 'po###ulit.org':443
- 'fa###ook.com':443
UDP
- DNS ASK po###ulit.org
- DNS ASK ca####alhotel.ro
- DNS ASK ap#.2ip.ua
- DNS ASK ua##y.top
- DNS ASK ze##q.com
- DNS ASK bz.###eioaag.com
- DNS ASK aa#u.at
- DNS ASK po###neh.com
- DNS ASK fi####rusteedrx.ru
- DNS ASK ki###irate.ru
- DNS ASK fa###ook.com
Другое
Создает и запускает на исполнение
- '%TEMP%\734b.exe'
- '%TEMP%\xandetc.exe'
- '%TEMP%\d09b.exe' --Admin IsNotAutoStart IsNotTask
- '%TEMP%\e4a8.exe' --Admin IsNotAutoStart IsNotTask
- '%TEMP%\e4a8.exe'
- '%TEMP%\d09b.exe'
- '%TEMP%\10180c8ca3\oneetx.exe'
- '%TEMP%\6c9d.exe'
- '%TEMP%\oldplayer.exe'
- '%TEMP%\b443.exe'
- '%TEMP%\77fd.exe' --Admin IsNotAutoStart IsNotTask
- '%TEMP%\77fd.exe'
- '%TEMP%\c2d4.exe'
- '%TEMP%\85f8.exe'
- '%TEMP%\ss31.exe'
- '%TEMP%\10180c8ca3\oneetx.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 1 /TN oneetx.exe /TR "%TEMP%\10180c8ca3\oneetx.exe" /F' (со скрытым окном)
- '%WINDIR%\syswow64\icacls.exe' "%LOCALAPPDATA%\1c8ea5c2-9107-4a4b-866a-cce3e9326ed8" /deny *S-1-1-0:(OI)(CI)(DE,DC)' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\icacls.exe' "%LOCALAPPDATA%\1c8ea5c2-9107-4a4b-866a-cce3e9326ed8" /deny *S-1-1-0:(OI)(CI)(DE,DC)
- '%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 1 /TN oneetx.exe /TR "%TEMP%\10180c8ca3\oneetx.exe" /F
- '<SYSTEM32>\taskeng.exe' {8A47F8E4-8054-4A1A-8B43-640D04AA2645} S-1-5-21-1960123792-2022915161-3775307078-1001:fimmnj\user:Interactive:[1]
