Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
добавляет исключения антивируса с помощью следующих ключей реестра:
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\{55D82C7F-0D41-47A4-B186-E895CC565B6F}Machine\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Extensions] 'exe' = ''
- [HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Extensions] 'exe' = ''
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- <SYSTEM32>\grouppolicy\gpt.ini
- %HOMEPATH%\pictures\minor policy\d1izjdrdortfr1qjplmy3aja.exe
- %HOMEPATH%\pictures\minor policy\b9x5awitg47ask0l5v2lxmrm.exe
- %HOMEPATH%\pictures\minor policy\bt0rz3zkzbcml5pxrvcxvzuy.exe
- %HOMEPATH%\pictures\minor policy\jc0ylpacggfc3wzr4ttuwwvq.exe
- %HOMEPATH%\pictures\minor policy\0fxs52fqyubep1d7kdxwes3o.exe
- %HOMEPATH%\pictures\minor policy\dv5okzz_rbjdb46go47niujd.exe
- %HOMEPATH%\pictures\minor policy\wirep7dkdnofqcsmstdch_se.exe
- %HOMEPATH%\pictures\minor policy\aiwt1nvhtdn3pb9nbjxp_pxh.exe
- %HOMEPATH%\pictures\minor policy\l_coxm7a97ngmxmbzuhjmj0h.exe
- %HOMEPATH%\pictures\minor policy\icxf8dzetplifhfs62cm5hlo.exe
- %HOMEPATH%\pictures\minor policy\j1sppxidphert6cmui0ulgfd.exe
- %HOMEPATH%\pictures\minor policy\dt4ka29kwfhfvjkkv2qmb54b.exe
- %HOMEPATH%\pictures\minor policy\32b8wmkwjsyfesivw1gqnvyj.exe
- %HOMEPATH%\pictures\minor policy\orxtxh5fdawrfy4g0arfh1h8.exe
- %HOMEPATH%\pictures\minor policy\twszaqwk9xfm5ambtnbniymx.exe
- %HOMEPATH%\pictures\minor policy\vaa4uxe5jt9ufayalk4yjput.exe
- %ALLUSERSPROFILE%\ntuser.pol
- <SYSTEM32>\grouppolicy\machine\registry.pol
- %HOMEPATH%\pictures\minor policy\a6zocvuhjaqubw4rrtb8597k.exe
- %HOMEPATH%\pictures\minor policy\12rwfxfyrpfl2u36ewlmb_8u.exe
Сетевая активность
Подключается к
- '19#.#2.32.118':80
- 'ch#####pherantonio.top':80
- 'ji.###e3ksgbb.com':443
- 'ji.###e3ksgbb.com':80
- 'hu##rsi.com':80
- '19#.#69.175.242':80
- '19#.#5.224.41':80
- '19#.#69.175.232':80
- '77.##.68.238':80
- '17#.#2.28.208':80
- 'vk.com':443
- 'vk.com':80
- 'ma##ind.com':443
- 'ma##ind.com':80
- 'db##p.com':443
- 'ip##fo.io':443
- 'ap###.ipify.org':443
- 'ap#.#yip.com':443
- 'ps##.#serapi.com':443
- 'microsoft.com':80
TCP
Запросы HTTP GET
- http://www.ma##ind.com/geoip/v2.1/city/me
- http://19#.#2.32.118/api/tracemap.php
- http://17#.#2.28.208/download/Services.exe
- http://hu##rsi.com/dl/6523.exe
- http://19#.#69.175.232/autorun.exe
- http://19#.#69.175.242/project.exe
- http://ch#####pherantonio.top/calc2.exe
- http://19#.#5.224.41/c.exe
- http://ji.###e3ksgbb.com/m/esgla2i5.exe
- http://77.##.68.238/love/no230.exe
- http://www.microsoft.com/pki/certs/MicRooCerAut_2010-06-23.crt
Другие
- 'ap#.#yip.com':443
- 'ap###.ipify.org':443
- 'ip##fo.io':443
- 'ma##ind.com':443
- 'vk.com':80
- 'vk.com':443
- 'ji.###e3ksgbb.com':80
- 'ji.###e3ksgbb.com':443
- 'ps##.#serapi.com':443
UDP
- DNS ASK ap#.#yip.com
- DNS ASK ap###.ipify.org
- DNS ASK ip##fo.io
- DNS ASK db##p.com
- DNS ASK ma##ind.com
- DNS ASK vk.com
- DNS ASK pr###ncert.pw
- DNS ASK ch#####pherantonio.top
- DNS ASK hu##rsi.com
- DNS ASK ji.###e3ksgbb.com
- DNS ASK ps##.#serapi.com
- DNS ASK microsoft.com
Другое
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\svchost.exe' -k secsvcs
- '<SYSTEM32>\raserver.exe' /offerraupdate
