Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Системный антивирус (Защитник Windows)
добавляет исключения антивируса с помощью следующих ключей реестра:
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Group Policy Objects\{4A323AD2-AFF5-4AC3-9410-E574A3204121}Machine\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Extensions] 'exe' = ''
- [HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Exclusions\Extensions] 'exe' = ''
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- <SYSTEM32>\grouppolicy\gpt.ini
- <SYSTEM32>\grouppolicy\machine\registry.pol
- %ALLUSERSPROFILE%\ntuser.pol
- %HOMEPATH%\documents\simpleadobe\djkrnm1sunotwun4rl2r2ini.exe
- %HOMEPATH%\documents\simpleadobe\5h4ojdxfjjmpblfqjvhizmjl.exe
- %HOMEPATH%\documents\simpleadobe\ys_l113gj9jleobnkoh7_xuo.exe
- %HOMEPATH%\documents\simpleadobe\7fvj0xhne19f2e_zud0ofsr5.exe
- %HOMEPATH%\documents\simpleadobe\_mktu0hlio4r0jgqi_gos9sc.exe
- %HOMEPATH%\documents\simpleadobe\5bivoysnoqqdjtmfwf_9i_12.exe
- %HOMEPATH%\documents\simpleadobe\30u5rt93parxa2fsyg0_jun9.exe
- %HOMEPATH%\documents\simpleadobe\4ozgisrgmqfyak0slcx78zdg.exe
- %HOMEPATH%\documents\simpleadobe\mthzst0xsbbefmpsxanxe1c6.exe
Сетевая активность
Подключается к
- '5.##.66.10':80
- 'x2.#.lencr.org':80
- 'r3.#.lencr.org':80
- 'x1.#.lencr.org':80
- 'cr#.#rlocsp.cn':80
- 'oc##.crlocsp.cn':80
- 'ch###mushki.net':443
- 'za####arpivo.com':443
- 'mo###locked.com':443
- 'fr##.###totalsecurity.com':443
- 'fr##.###totalsecurity.com':80
- 'tr####hicken.net':443
- 'mo###locked.com':80
- 'za####arpivo.com':80
- 'tr####hicken.net':80
- 'wi##t.com':80
- 'vk.com':443
- 'do#.##stbutters.com':443
- 'to#####ecutirenics.sbs':443
- 'to#####ecutirenics.sbs':80
- 'do#.##stbutters.com':80
- 'vk.com':80
- '17#.#13.115.135':80
- '19#.#33.132.139':80
- '18#.#72.128.203':80
- 'pk#.goog':80
- 'db##p.com':443
- 'ip##fo.io':443
- 'ap###.ipify.org':443
- 'ap#.#yip.com':443
- '19#.#33.132.253':50500
- 'ma##ind.com':80
TCP
Запросы HTTP GET
- http://pk#.goog/gsr1/gsr1.crt
- http://5.##.66.10/api/bing_release.php
- http://19#.#33.132.139/banda/gidro.exe
- http://17#.#13.115.135/ohhelly
- http://18#.#72.128.203/dl.php
- http://5.##.66.10/download/th/space.php
- http://wi##t.com/forum/index.php
- http://5.##.66.10/download/th/getimage12.php
- http://to#####ecutirenics.sbs/rt
- http://cr#.#rlocsp.cn/WoTrusDVServerCA_2.crl
- http://5.##.66.10/download/123p.exe
- http://5.##.66.10/download/th/retail.php
- http://x1.#.lencr.org/
- http://r3.#.lencr.org/MFMwUTBPME0wSzAJBgUrDgMCGgUABBRI2smg%2ByvTLU%2Fw3mjS9We3NfmzxAQUFC6zF7dYVsuuUAlA5h%2BvnYsUwsYCEgTvK0Vimy3NxVLek7cb%2F8r%2BCw%3D%3D
- http://x2.#.lencr.org/
- http://www.ma##ind.com/geoip/v2.1/city/me
Другие
- 'ap#.#yip.com':443
- 'mo###locked.com':443
- 'fr##.###totalsecurity.com':443
- 'fr##.###totalsecurity.com':80
- 'tr####hicken.net':443
- 'mo###locked.com':80
- 'tr####hicken.net':80
- 'za####arpivo.com':443
- 'za####arpivo.com':80
- 'to#####ecutirenics.sbs':443
- 'vk.com':443
- 'do#.##stbutters.com':80
- 'vk.com':80
- 'ip##fo.io':443
- 'ap###.ipify.org':443
- 'do#.##stbutters.com':443
- '19#.#33.132.253':50500
UDP
- DNS ASK ap#.#yip.com
- DNS ASK r3.#.lencr.org
- DNS ASK x1.#.lencr.org
- DNS ASK cr#.#rlocsp.cn
- DNS ASK oc##.crlocsp.cn
- DNS ASK ch###mushki.net
- DNS ASK fr##.###totalsecurity.com
- DNS ASK tr####hicken.net
- DNS ASK za####arpivo.com
- DNS ASK mo###locked.com
- DNS ASK do#.##stbutters.com
- DNS ASK vk.com
- DNS ASK wi##t.com
- DNS ASK to#####ecutirenics.sbs
- DNS ASK pk#.goog
- DNS ASK db##p.com
- DNS ASK ip##fo.io
- DNS ASK ap###.ipify.org
- DNS ASK x2.#.lencr.org
- DNS ASK ma##ind.com
Другое
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%HOMEPATH%\documents\simpleadobe\5bivoysnoqqdjtmfwf_9i_12.exe'
Запускает на исполнение
- '<SYSTEM32>\svchost.exe' -k secsvcs
- '<SYSTEM32>\raserver.exe' /offerraupdate
