Техническая информация
Вредоносные функции
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: 'RegmonClass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\aut5724.tmp
- %TEMP%\v7.3nm.exe
- %TEMP%\aut58da.tmp
- %TEMP%\server.crt
- %TEMP%\aut58db.tmp
- %TEMP%\checklmao.bat
- nul
Удаляет следующие файлы
- %TEMP%\aut5724.tmp
- %TEMP%\aut58da.tmp
- %TEMP%\aut58db.tmp
- %TEMP%\v7.3nm.exe
- %TEMP%\server.crt
- %TEMP%\checklmao.bat
Изменяет файл HOSTS.
Сетевая активность
Подключается к
- 'localhost':49185
- 'localhost':49187
- '18#.#27.86.96':443
TCP
Другие
- 'localhost':49185
- 'localhost':49187
- 'localhost':49188
- '18#.#27.86.96':443
Другое
Ищет следующие окна
- ClassName: 'File Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Process Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -Command "Import-Certificate -FilePath '%TEMP%\server.crt' -CertStoreLocation 'Cert:\LocalMachine\Root' -ErrorAction SilentlyContinue"
- '<SYSTEM32>\cmd.exe' /c @echo off & echo Running checklmao.bat silently... & start "" /min /b cmd /c "%TEMP%\checklmao.bat & exit"' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c @echo off & echo Running checklmao.bat silently... & start "" /min /b cmd /c "%TEMP%\checklmao.bat & exit"
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\checklmao.bat & exit"
- '<SYSTEM32>\certutil.exe' -store TrustedRoot
- '<SYSTEM32>\findstr.exe' /i /c:"%TEMP%\server.crt"
- '<SYSTEM32>\findstr.exe' /C:"188.227.86.96 keyauth.win" "<DRIVERS>\etc\hosts"
- '<SYSTEM32>\cmd.exe' /c Color C
- '<SYSTEM32>\cmd.exe' /c certutil -hashfile "%TEMP%\V7.3NM.exe" MD5 | find /i /v "md5" | find /i /v "certutil"
- '<SYSTEM32>\certutil.exe' -hashfile "%TEMP%\V7.3NM.exe" MD5
- '<SYSTEM32>\find.exe' /i /v "certutil"
- '<SYSTEM32>\find.exe' /i /v "md5"
- '<SYSTEM32>\cmd.exe' /c start cmd /C "color b && title Error && echo SSL connect error && timeout /t 5"
- '<SYSTEM32>\cmd.exe' /C "color b && title Error && echo SSL connect error && timeout /t 5"
- '<SYSTEM32>\timeout.exe' /t 5
