Trojan.PackedNET.2875

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

%APPDATA%\microsoft\windows\start menu\programs\startup\nolojbs8tsneqqi6775q2ruj.bat
%APPDATA%\microsoft\windows\start menu\programs\startup\pak2cj9v4lgfedr3pnrgohti.bat
%APPDATA%\microsoft\windows\start menu\programs\startup\io7yr0mzwjlanyhgzuev1mcn.bat
%APPDATA%\microsoft\windows\start menu\programs\startup\ym0ekynrkmpzgyeu3aesskqt.bat
%APPDATA%\microsoft\windows\start menu\programs\startup\hvvmt3yvpxizaxau1p9f62om.bat

Вредоносные функции

Для затруднения выявления своего присутствия в системе

блокирует:

Средство контроля пользовательских учетных записей (UAC)

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>" -Force
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%HOMEPATH%\Pictures\0e5YlQqNM4dCdFlqUa9OsJ4s.exe" -Force

Внедряет код в

следующие системные процессы:

%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe
%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\file-9781.putik
%LOCALAPPDATA%\dsiecyctnpdgu5ohva1rfovb.exe
%LOCALAPPDATA%\x3n85ydqirtyeeqs4y7hz7a1.exe
%LOCALAPPDATA%\zehkaoe8lgzey72npxcxxapp.exe
%HOMEPATH%\pictures\0y0hnisgltirquxnkqgc2mm6.exe
%HOMEPATH%\pictures\dlfn459irbcntbiv2a3k4kn5.exe
%HOMEPATH%\pictures\0e5ylqqnm4dcdflqua9osj4s.exe
%LOCALAPPDATA%\ilk2tbbdhkwa9khauyby7g2x.exe
%HOMEPATH%\pictures\3j43hfvctwdglh3i6f0wuhtg.exe
%LOCALAPPDATA%\urf7ljeoggkaeujebnfuu7iv.exe
%HOMEPATH%\pictures\fvugbjmwij0pns4mryvgvteo.exe

Сетевая активность

Подключается к

'pa###bin.com':443
'yi#.su':443
'5.##.66.47':80
'ho####ajespiura.com':443
'to##int.ma':443
'fr##.###totalsecurity.com':443
'x1.#.lencr.org':80

TCP

Запросы HTTP GET

http://5.##.66.47/files/New.exe
http://5.##.66.47/files/setup.exe
http://x1.#.lencr.org/

Другие

'yi#.su':443
'pa###bin.com':443
'to##int.ma':443
'fr##.###totalsecurity.com':443

UDP

DNS ASK yi#.su
DNS ASK pa###bin.com
DNS ASK ho####ajespiura.com
DNS ASK to##int.ma
DNS ASK fr##.###totalsecurity.com
DNS ASK x1.#.lencr.org

Другое

Ищет следующие окна

ClassName: 'OleMainThreadWndClass' WindowName: ''

Создает и запускает на исполнение

'%HOMEPATH%\pictures\fvugbjmwij0pns4mryvgvteo.exe'
'%HOMEPATH%\pictures\dlfn459irbcntbiv2a3k4kn5.exe' /s
'%HOMEPATH%\pictures\0e5ylqqnm4dcdflqua9osj4s.exe'
'%HOMEPATH%\pictures\3j43hfvctwdglh3i6f0wuhtg.exe'

Запускает на исполнение

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -EncodedCommand WwBTAHkAcwB0AGUAbQAuAFQAaAByAGUAYQBkAGkAbgBnAC4AVABoAHIAZQBhAGQAXQA6ADoAUwBsAGUAZQBwACgANQAwADAAMAApAAoACgAkAFQAZQBtAHAARABpAHIAIAA9ACAAWwBTAHkAcwB0AGUAbQAuAEkATwAuAFAAYQB0AGgAX... (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\addinprocess32.exe'
'%WINDIR%\syswow64\cmd.exe' /C forfiles /p <SYSTEM32> /m notepad.exe /c "cmd /C reg add \"HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Threats\ThreatIDDefaultAction\" /f /v 2147735503 /t REG_SZ /d 6" & forfiles /p <S... (со скрытым окном)
'%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe'
'%WINDIR%\syswow64\forfiles.exe' /p <SYSTEM32> /m notepad.exe /c "cmd /C reg add \"HKLM\SOFTWARE\Policies\Microsoft\Windows Defender\Threats\ThreatIDDefaultAction\" /f /v 2147735503 /t REG_SZ /d 6"
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "<Полный путь к файлу>" -Force (со скрытым окном)
'%HOMEPATH%\pictures\fvugbjmwij0pns4mryvgvteo.exe' (со скрытым окном)
'%HOMEPATH%\pictures\dlfn459irbcntbiv2a3k4kn5.exe' /s (со скрытым окном)
'%HOMEPATH%\pictures\0e5ylqqnm4dcdflqua9osj4s.exe' (со скрытым окном)
'%HOMEPATH%\pictures\3j43hfvctwdglh3i6f0wuhtg.exe' (со скрытым окном)
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath "%HOMEPATH%\Pictures\0e5YlQqNM4dCdFlqUa9OsJ4s.exe" -Force (со скрытым окном)