Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\$77svc32
- <SYSTEM32>\tasks\$77svc64
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%TEMP%\$77-server.exe" "$77-server.exe" ENABLE
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\conhost.exe
- %WINDIR%\syswow64\netsh.exe
Перехватывает функции
в браузерах
- Процесс firefox.exe, модуль advapi32.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\anan.bat
- %WINDIR%\temp\_mei9922\rarreg.key
- %WINDIR%\temp\_mei9922\blank.aes
- %WINDIR%\temp\_mei9922\base_library.zip
- %WINDIR%\temp\_mei9922\unicodedata.pyd
- %WINDIR%\temp\_mei9922\sqlite3.dll
- %WINDIR%\temp\_mei9922\select.pyd
- %WINDIR%\temp\_mei9922\rar.exe
- %WINDIR%\temp\_mei9922\python310.dll
- %WINDIR%\temp\_mei9922\libssl-1_1.dll
- %WINDIR%\temp\_mei9922\libffi-7.dll
- %WINDIR%\temp\_mei9922\libcrypto-1_1.dll
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\app
- %WINDIR%\temp\_mei9922\_ssl.pyd
- %WINDIR%\temp\_mei9922\_socket.pyd
- %WINDIR%\temp\_mei9922\_queue.pyd
- %WINDIR%\temp\_mei9922\_lzma.pyd
- %WINDIR%\temp\_mei9922\_hashlib.pyd
- %WINDIR%\temp\_mei9922\_decimal.pyd
- %WINDIR%\temp\_mei9922\_ctypes.pyd
- %WINDIR%\temp\_mei9922\_bz2.pyd
- %WINDIR%\temp\_mei9922\vcruntime140.dll
- %TEMP%\$77-anan.exe
- %TEMP%\$77-server.exe
- %TEMP%\rootkit.exe
- %WINDIR%\temp\_mei9922\_sqlite3.pyd
- %ProgramFiles(x86)%\$77-svchost.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\anan.bat
- %TEMP%\$77-server.exe
Сетевая активность
Подключается к
- 'sh###.#ariskeser.com':443
- 'pk#.goog':80
- 'ip.###iskeser.com':8888
TCP
Запросы HTTP GET
- http://pk#.goog/gsr1/gsr1.crt
Другие
- 'sh###.#ariskeser.com':443
UDP
- DNS ASK sh###.#ariskeser.com
- DNS ASK pk#.goog
- DNS ASK ip.###iskeser.com
Другое
Ищет следующие окна
- ClassName: 'MouseZ' WindowName: 'Magellan MSWHEEL'
Создает и запускает на исполнение
- '%TEMP%\rootkit.exe'
- '%TEMP%\$77-server.exe'
- '%TEMP%\$77-anan.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' "[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey(''+[Char](83)+'O'+[Char](70)+'T'+[Char](87)+'A'+[Char](82)+''+'E'+'').GetValue(''+[Char](36)+'77'+[Char](115)+''...' (со скрытым окном)
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' "[Reflection.Assembly]::Load([Microsoft.Win32.Registry]::LocalMachine.OpenSubkey('S'+[Char](79)+''+[Char](70)+''+[Char](84)+''+'W'+'A'+[Char](82)+''+'E'+'').GetValue(''+'$'+''+[Char](55)+''+'7'...' (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%TEMP%\$77-server.exe" "$77-server.exe" ENABLE' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\anan.bat"
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\$77config\startup /v server /t REG_SZ /d "%TEMP%\$77-server.exe"
- '<SYSTEM32>\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\$77config\startup /v anan /t REG_SZ /d "%TEMP%\$77-anan.exe"
- '<SYSTEM32>\dllhost.exe' /Processid:{bcbf62e9-eb02-4567-be7b-5d122c19a0d8}
- '%WINDIR%\syswow64\dllhost.exe' /Processid:{81af2bcf-4012-44de-8953-4830e2a1b669}
