Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/$Recycle.Bin/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Documents and Settings/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/kms/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/MSOCache/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Program Files/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/PerfLogs/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/ProgramData/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Program Files (x86)/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Recovery/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/rvva/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/System Volume Information/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Users/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Windows/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\Users\public\wininit.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Полный путь к файлу>'
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\e65f2e49f51d83
- %TEMP%\dsuq0aoju1
- %TEMP%\evba7s7hpv
- %TEMP%\wjtvdd5vcp
- %TEMP%\hxzlzrtonj
- %TEMP%\sempv0yizh
- %TEMP%\drus9e4dkb
- %TEMP%\zoqsivfedp
- %TEMP%\lqecjjxuxx
- %TEMP%\f9xve2nwag
- %TEMP%\gck8rfinyo
- %TEMP%\eroeu61nv6
- %TEMP%\1myruqbmpo
- %TEMP%\jh7lrg0lhn
- %TEMP%\hx5jf6mcas
- %TEMP%\dyyddweimj
- %TEMP%\8zsdbguox4
- %TEMP%\yjh7lwsvbl
- nul
- %TEMP%\ribt4d3dds.bat
- %TEMP%\of8k35sh7j
- %TEMP%\99ac3946a97f882c752d85664d824cee1c547bd8
- C:\users\public\56085415360792
- C:\users\public\wininit.exe
- %TEMP%\mr4mfjcnn4
- %TEMP%\gdqsrvmpe8
Удаляет следующие файлы
- %TEMP%\of8k35sh7j
- %TEMP%\yjh7lwsvbl
- %TEMP%\wjtvdd5vcp
- %TEMP%\evba7s7hpv
Сетевая активность
Подключается к
- 'ak####techcdns.com':80
TCP
Запросы HTTP POST
- http://ak####techcdns.com/RequestLowUpdateLongpolldbtestDatalifeWpDownloads.php
UDP
- DNS ASK ak####techcdns.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\Ribt4D3ddS.bat"' (со скрытым окном)
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\Ribt4D3ddS.bat"
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\ping.exe' -n 10 localhost
