Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\Defvwo Qrjkl] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\Defvwo Qrjkl] 'ImagePath' = 'C:\\Program Files\\Aqrjk.exe -auto'
- [HKLM\System\CurrentControlSet\Services\RlRmAS Rggxi] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\RlRmAS Rggxi] 'ImagePath' = '<SYSTEM32>\\VXxrLtIi.exe Service 0'
Создает следующие сервисы
- 'Defvwo Qrjkl' C:\\Program Files\\Aqrjk.exe -auto
- 'RlRmAS Rggxi' <SYSTEM32>\\VXxrLtIi.exe Service 0
Вредоносные функции
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\~3656587960973531915~\sg.tmp
- C:\~3942859795165578359\kcrbq5ir.exe
- C:\~3942859795165578359\vxxrltii.exe
- %ProgramFiles%\aqrjk.exe
- %WINDIR%\syswow64\vxxrltii.exe
- <SYSTEM32>\vxxrltii.exe
- %TEMP%\~2411976045187611631.cmd
- nul
Присваивает атрибут 'скрытый' для следующих файлов
- %TEMP%\~2411976045187611631.cmd
Удаляет следующие файлы
- %TEMP%\~3656587960973531915~\sg.tmp
- %TEMP%\_@3938.tmp
- %TEMP%\~2411976045187611631.cmd
Перемещает следующие файлы
- C:\~3942859795165578359\vxxrltii.exe в %TEMP%\_@3938.tmp
Самоудаляется.
Сетевая активность
Подключается к
- 'ts#8.cc':14993
- 'ts#8.cc':9999
TCP
Другие
- 'ts#8.cc':9999
UDP
- DNS ASK ts#8.cc
- DNS ASK hz#.##ox0xox0.com
Другое
Создает и запускает на исполнение
- '%TEMP%\~3656587960973531915~\sg.tmp' x "<Полный путь к файлу>" -y -aos -o"C:\~3942859795165578359"
- 'C:\~3942859795165578359\vxxrltii.exe'
- 'C:\~3942859795165578359\kcrbq5ir.exe'
- '%ProgramFiles%\aqrjk.exe' -auto
- '%WINDIR%\syswow64\vxxrltii.exe' -auto <SYSTEM32>\\VXxrLtIi.exe
- '%ProgramFiles%\aqrjk.exe' -acsi
- '<SYSTEM32>\vxxrltii.exe' -troj
- '<SYSTEM32>\cmd.exe' /c set' (со скрытым окном)
- '%TEMP%\~3656587960973531915~\sg.tmp' x "<Полный путь к файлу>" -y -aos -o"C:\~3942859795165578359"' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' cmd/c ping -n 2 127.0.0.1 > nul && del %TEMP%\_@3938.tmp > nul && exit' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' \c ping -n 2 127.0.0.1 > nul && del C:\~39428~1\KCrBq5iR.exe > nul' (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\~2411976045187611631.cmd"' (со скрытым окном)
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c set
- '%WINDIR%\syswow64\cmd.exe' cmd/c ping -n 2 127.0.0.1 > nul && del %TEMP%\_@3938.tmp > nul && exit
- '%WINDIR%\syswow64\cmd.exe' \c ping -n 2 127.0.0.1 > nul && del C:\~39428~1\KCrBq5iR.exe > nul
- '%WINDIR%\syswow64\ping.exe' -n 2 127.0.0.1
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\~2411976045187611631.cmd"
