Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\tooykupdate
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\YService] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\YService] 'ImagePath' = '%WINDIR%\SysWOW64\YKJLFWD\Service.exe /ErrorStdOut -StartS'
- [HKLM\System\CurrentControlSet\Services\YServiceRun] 'ImagePath' = '"%WINDIR%\SysWOW64\YKJLFWD\Service.exe" /ErrorStdOut -RunS'
Создает следующие сервисы
- 'YService' %WINDIR%\SysWOW64\YKJLFWD\Service.exe /ErrorStdOut -StartS
- 'YServiceRun' "%WINDIR%\SysWOW64\YKJLFWD\Service.exe" /ErrorStdOut -RunS
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%ProgramFiles%\RealVNC\VNC Server\vncserver.exe" "VNC Server" ENABLE
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\SysWOW64\rserver30\rserver3.exe" "rserver3" ENABLE
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\ttvncs.exe" "TTVNC" ENABLE
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\RustDesk.exe" "RustDesk" ENABLE
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%ProgramFiles(x86)%\AnyDesk\AnyDesk.exe" "AnyDesk" ENABLE
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\ToDesk.exe" "ToDesk_Lite" ENABLE
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\ToDesk\ToDesk.exe" "ToDesk" ENABLE
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\ToDesk\ToDesk_Session.exe" "ToDesk_Session" ENABLE
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\ToDesk\ToDesk_Service.exe" "ToDesk_Service" ENABLE
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\Service.exe" "YService" ENABLE
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\Server.exe" "YServer" ENABLE
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\vpn.exe" "YVPN" ENABLE
Завершает или пытается завершить
следующие системные процессы:
- %WINDIR%\syswow64\mmc.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\aut3df9.tmp
- %WINDIR%\temp\aut2cd.tmp
- %WINDIR%\temp\1804xpdrvfv
- %WINDIR%\temp\autb75.tmp
- %WINDIR%\temp\2220qxftvvt
- %WINDIR%\syswow64\grouppolicy\gpt.ini
- %WINDIR%\syswow64\config\systemprofile\favorites\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\62axopq5\views[1]
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\low\desktop.ini
- %WINDIR%\temp\autfdaf.tmp
- %WINDIR%\temp\2780oavguye
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\low\content.ie5\od3iby6b\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\low\content.ie5\s7gej7l6\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\low\content.ie5\h012dy1g\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\low\content.ie5\l3e9qazq\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\roaming\microsoft\windows\cookies\low\index.dat
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\history\low\history.ie5\index.dat
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\0ps72r2m\views[1]
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\history\low\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\history\low\history.ie5\desktop.ini
- %TEMP%\728pdiruux
- %TEMP%\autf759.tmp
- %WINDIR%\syswow64\ykjlfwd\ico.ico
- %TEMP%\aut4b71.tmp
- %TEMP%\2280xpeuwlm
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\l0p2ozk2\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\r6efwtll\desktop.ini
- %TEMP%\2080vnljwtm
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\85b5baa8\desktop.ini
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
- %TEMP%\auta7d3.tmp
- %TEMP%\update.dat
- %TEMP%\auta822.tmp
- %TEMP%\7-zip32.dll
- %WINDIR%\syswow64\ykjlfwd\server.exe
- %WINDIR%\syswow64\ykjlfwd\service.exe
- %TEMP%\auta92d.tmp
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\4kabue6j\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\lixmvqoa\views[1]
- %WINDIR%\syswow64\config\systemprofile\appdata\local\gdipfontcachev1.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\l0p2ozk2\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\r6efwtll\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\85b5baa8\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\4kabue6j\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\low\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\low\content.ie5\od3iby6b\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\low\content.ie5\s7gej7l6\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\low\content.ie5\h012dy1g\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\low\content.ie5\l3e9qazq\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\history\low\history.ie5\desktop.ini
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\history\low\desktop.ini
Удаляет следующие файлы
- %TEMP%\aut3df9.tmp
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\62axopq5\views[1]
- %WINDIR%\temp\2220qxftvvt
- %WINDIR%\temp\autb75.tmp
- %WINDIR%\temp\1804xpdrvfv
- %WINDIR%\temp\aut2cd.tmp
- %WINDIR%\temp\2780oavguye
- %WINDIR%\temp\autfdaf.tmp
- %TEMP%\728pdiruux
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\0ps72r2m\views[1]
- %TEMP%\autf759.tmp
- %TEMP%\update.dat
- %TEMP%\7-zip32.dll
- %TEMP%\auta822.tmp
- %TEMP%\auta7d3.tmp
- <SYSTEM32>\tasks\tooykupdate
- %TEMP%\2280xpeuwlm
- %TEMP%\aut4b71.tmp
- %TEMP%\2080vnljwtm
- %TEMP%\auta92d.tmp
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\lixmvqoa\views[1]
Подменяет следующие файлы
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\62axopq5\views[1]
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\0ps72r2m\views[1]
- %WINDIR%\syswow64\config\systemprofile\appdata\local\microsoft\windows\<INETFILES>\content.ie5\lixmvqoa\views[1]
Самоудаляется.
Сетевая активность
Подключается к
- 'to##k.com':80
UDP
- DNS ASK to##k.com
Другое
Ищет следующие окна
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\ykjlfwd\service.exe' /ErrorStdOut -RunS
- '%WINDIR%\syswow64\ykjlfwd\service.exe' /ErrorStdOut -StartS
- '%WINDIR%\syswow64\ykjlfwd\service.exe' "/ErrorStdOut" "-SetSoftwareSASGeneration"
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /TN TooykUpdate /RU user /SC ONCE /ST 10:30:00 /RL HIGHEST /F /TR "\"<Полный путь к файлу>\" /ErrorStdOut /Task"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 3&del /q "<Полный путь к файлу>"' (со скрытым окном)
- '<SYSTEM32>\query.exe' user' (со скрытым окном)
- '%WINDIR%\syswow64\ykjlfwd\service.exe' /ErrorStdOut -StartS' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\vpn.exe" "YVPN" ENABLE' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\Server.exe" "YServer" ENABLE' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\Service.exe" "YService" ENABLE' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\ToDesk\ToDesk_Service.exe" "ToDesk_Service" ENABLE' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\ToDesk\ToDesk_Session.exe" "ToDesk_Session" ENABLE' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\ToDesk.exe" "ToDesk_Lite" ENABLE' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%ProgramFiles(x86)%\AnyDesk\AnyDesk.exe" "AnyDesk" ENABLE' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\RustDesk.exe" "RustDesk" ENABLE' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\ttvncs.exe" "TTVNC" ENABLE' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\rserver30\rserver3.exe" "rserver3" ENABLE' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%ProgramFiles%\RealVNC\VNC Server\vncserver.exe" "VNC Server" ENABLE' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /delete /TN TooykUpdate /F' (со скрытым окном)
- '<Полный путь к файлу>' /ErrorStdOut /Task' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c chcp 437 & schtasks /run /TN TooykUpdate /I' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\ToDesk\ToDesk.exe" "ToDesk" ENABLE' (со скрытым окном)
- '%WINDIR%\syswow64\mmc.exe' %WINDIR%\SysWOW64\GPEDIT.MSC' (со скрытым окном)
Перезапускает анализируемый образец
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /TN TooykUpdate /RU user /SC ONCE /ST 10:30:00 /RL HIGHEST /F /TR "\"<Полный путь к файлу>\" /ErrorStdOut /Task"
- '%WINDIR%\syswow64\mmc.exe' %WINDIR%\SysWOW64\GPEDIT.MSC
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 3&del /q "<Полный путь к файлу>"
- '<SYSTEM32>\quser.exe'
- '<SYSTEM32>\query.exe' user
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\vpn.exe" "YVPN" ENABLE
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\Server.exe" "YServer" ENABLE
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\Service.exe" "YService" ENABLE
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\ToDesk\ToDesk_Service.exe" "ToDesk_Service" ENABLE
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\ToDesk\ToDesk_Session.exe" "ToDesk_Session" ENABLE
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\ToDesk\ToDesk.exe" "ToDesk" ENABLE
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\ToDesk.exe" "ToDesk_Lite" ENABLE
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%ProgramFiles(x86)%\AnyDesk\AnyDesk.exe" "AnyDesk" ENABLE
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\RustDesk.exe" "RustDesk" ENABLE
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\ttvncs.exe" "TTVNC" ENABLE
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\rserver30\rserver3.exe" "rserver3" ENABLE
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%ProgramFiles%\RealVNC\VNC Server\vncserver.exe" "VNC Server" ENABLE
- '%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
- '%WINDIR%\syswow64\schtasks.exe' /delete /TN TooykUpdate /F
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /delete /TN TooykUpdate /F
- '<SYSTEM32>\taskeng.exe' {2822CA43-842E-4F49-A4C7-078AC7FA0A71} S-1-5-21-3150914307-1777937420-491476919-1000:ktmyvdxj\user:Interactive:[1]
- '%WINDIR%\syswow64\schtasks.exe' /run /TN TooykUpdate /I
- '%WINDIR%\syswow64\chcp.com' 437
- '%WINDIR%\syswow64\cmd.exe' /c chcp 437 & schtasks /run /TN TooykUpdate /I
- '%WINDIR%\syswow64\schtasks.exe' /create /TN TooykUpdate /RU user /SC ONCE /ST 10:30:00 /RL HIGHEST /F /TR "\"<Полный путь к файлу>\" /ErrorStdOut /Task"
- '<SYSTEM32>\mmc.exe' %WINDIR%\SysWOW64\GPEDIT.MSC
- '%WINDIR%\syswow64\mmc.exe' %WINDIR%\SysWOW64\GPEDIT.MSC -32
