Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
добавляет исключения антивируса с помощью следующих ключей реестра:
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\{AB82382C-C646-4AFD-AE10-8A4189C025F4}Machine\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Extensions] 'exe' = ''
- [HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Extensions] 'exe' = ''
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /im "UHehMKZu1zzpmDMpmNQ1WrS5.exe" /f
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- <SYSTEM32>\grouppolicy\gpt.ini
- <SYSTEM32>\grouppolicy\machine\registry.pol
- %ALLUSERSPROFILE%\ntuser.pol
- %HOMEPATH%\documents\simpleadobe\uhehmkzu1zzpmdmpmnq1wrs5.exe
- %HOMEPATH%\documents\simpleadobe\mcuf0fhpbxwkc16vbtf27lig.exe
- %HOMEPATH%\documents\simpleadobe\yxokqjj77sf6syudn3ou8mf9.exe
Удаляет следующие файлы
- %HOMEPATH%\documents\simpleadobe\mcuf0fhpbxwkc16vbtf27lig.exe
- %HOMEPATH%\documents\simpleadobe\uhehmkzu1zzpmdmpmnq1wrs5.exe
Сетевая активность
Подключается к
- '85.##2.56.26':80
- 'st##smm.org':443
- 'wi##t.com':80
- 'ba###rgatez.com':443
- 'tr####hicken.net':443
- 'pa####ryslicker.sbs':443
- 'mo###locked.com':443
- 'me##.#razyfigs.top':443
- 'ba###rgatez.com':80
- 'tr####hicken.net':80
- 'pa####ryslicker.sbs':80
- 'mo###locked.com':80
- 'vk.com':443
- 'me##.#razyfigs.top':80
- 'st##smm.org':80
- 'vk.com':80
- '5.##.65.64':80
- '18#.#72.128.203':80
- '5.##.66.10':80
- 'pk#.goog':80
- 'db##p.com':443
- 'ip##fo.io':443
- 'ap###.ipify.org':443
- 'ap#.#yip.com':443
- 'db##p.com':80
- 'x1.#.lencr.org':80
TCP
Запросы HTTP GET
- http://pk#.goog/gsr1/gsr1.crt
- http://85.##2.56.26/api/bing_release.php
- http://18#.#72.128.203/dl.php
- http://5.##.66.10/download/123p.exe
- http://5.##.65.64/download.php?pu######
- http://5.##.66.10/download/th/retail.php
- http://wi##t.com/forum/index.php
- http://5.##.66.10/download/th/space.php
- http://x1.#.lencr.org/
Другие
- 'ap#.#yip.com':443
- 'ap###.ipify.org':443
- 'ip##fo.io':443
- 'vk.com':80
- 'vk.com':443
- 'me##.#razyfigs.top':80
- 'mo###locked.com':80
- 'pa####ryslicker.sbs':80
- 'tr####hicken.net':80
- 'ba###rgatez.com':80
- 'me##.#razyfigs.top':443
- 'mo###locked.com':443
- 'pa####ryslicker.sbs':443
- 'ba###rgatez.com':443
- 'tr####hicken.net':443
UDP
- DNS ASK ap#.#yip.com
- DNS ASK ap###.ipify.org
- DNS ASK ip##fo.io
- DNS ASK db##p.com
- DNS ASK pk#.goog
- DNS ASK wi##t.com
- DNS ASK me##.#razyfigs.top
- DNS ASK vk.com
- DNS ASK st##smm.org
- DNS ASK mo###locked.com
- DNS ASK pa####ryslicker.sbs
- DNS ASK tr####hicken.net
- DNS ASK ba###rgatez.com
- DNS ASK x1.#.lencr.org
Другое
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%HOMEPATH%\documents\simpleadobe\mcuf0fhpbxwkc16vbtf27lig.exe'
- '%HOMEPATH%\documents\simpleadobe\uhehmkzu1zzpmdmpmnq1wrs5.exe'
- '%HOMEPATH%\documents\simpleadobe\yxokqjj77sf6syudn3ou8mf9.exe'
- '%WINDIR%\syswow64\cmd.exe' /c timeout /t 5 & del /f /q "%HOMEPATH%\Documents\SimpleAdobe\MCUF0FhpbXWKc16vBTF27liG.exe" & del "%ALLUSERSPROFILE%\*.dll"" & exit' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im "UHehMKZu1zzpmDMpmNQ1WrS5.exe" /f & erase "%HOMEPATH%\Documents\SimpleAdobe\UHehMKZu1zzpmDMpmNQ1WrS5.exe" & exit' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\svchost.exe' -k secsvcs
- '<SYSTEM32>\raserver.exe' /offerraupdate
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
- '<SYSTEM32>\sc.exe' delete "OBGPQMHF"
- '<SYSTEM32>\sc.exe' create "OBGPQMHF" binpath= "%ALLUSERSPROFILE%\ndfbaljqaqzm\dckuybanmlgp.exe" start= "auto"
- '<SYSTEM32>\sc.exe' start "OBGPQMHF"
- '<SYSTEM32>\sc.exe' stop eventlog
- '%WINDIR%\syswow64\cmd.exe' /c timeout /t 5 & del /f /q "%HOMEPATH%\Documents\SimpleAdobe\MCUF0FhpbXWKc16vBTF27liG.exe" & del "%ALLUSERSPROFILE%\*.dll"" & exit
- '%WINDIR%\syswow64\timeout.exe' /t 5
- '<SYSTEM32>\svchost.exe'
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im "UHehMKZu1zzpmDMpmNQ1WrS5.exe" /f & erase "%HOMEPATH%\Documents\SimpleAdobe\UHehMKZu1zzpmDMpmNQ1WrS5.exe" & exit
