Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\--] 'ImagePath' = '<Полный путь к файлу> /wl 1'
Создает следующие сервисы
- '--' <Полный путь к файлу> /wl 1
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса с помощью следующих ключей реестра:
- [HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\uninstaller.dat' = '00000000'
- [HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%WINDIR%\MzQyYzM1.exe' = '00000000'
- [HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '<DRIVERS>\NzY5ZDUwZmRk' = '00000000'
- [HKLM\SOFTWARE\Microsoft\Windows Defender\Exclusions\Paths] '%ProgramFiles%\NDFlN2RmN' = '00000000'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsva322.tmp\rzoyxiro.wav
- %TEMP%\nsvaa27.tmp\brh.dll
- %WINDIR%\temp\nsqc1cc.tmp\brh.dll
- %WINDIR%\temp\nsqc1cc.tmp\brh.dat
- %WINDIR%\temp\nsqc1cc.tmp\nsiscrypt.dll
- %WINDIR%\temp\nsqc1cc.tmp\simplesc.dll
- %WINDIR%\temp\nsqc1cc.tmp\md5dll.dll
- %WINDIR%\temp\nsqc1cc.tmp\ipconfig.dll
- %WINDIR%\temp\nsqc1cc.tmp\system.dll
- %WINDIR%\temp\nsqc1cb.tmp
- %WINDIR%\temp\nsabcd9.tmp\tntekibmape.dll
- %WINDIR%\temp\nsabcd9.tmp\ggvrhdwwdtt.dll
- %TEMP%\nsvaa27.tmp\inetc.dll
- %WINDIR%\temp\nsabcd9.tmp\rhjudoyzukb.dll
- %TEMP%\nsvaa27.tmp\nsexec.dll
- %TEMP%\nsvaa27.tmp\brh.dat
- %TEMP%\nsvaa27.tmp\nsiscrypt.dll
- %TEMP%\nsvaa27.tmp\simplesc.dll
- %TEMP%\nsvaa27.tmp\md5dll.dll
- %TEMP%\nsvaa27.tmp\ipconfig.dll
- %TEMP%\nsvaa27.tmp\system.dll
- %TEMP%\nsgaa17.tmp
- %TEMP%\nsva322.tmp\tntekibmape.dll
- %TEMP%\nsva322.tmp\ggvrhdwwdtt.dll
- %TEMP%\nsva322.tmp\rhjudoyzukb.dll
- %WINDIR%\temp\nsabcd9.tmp\rzoyxiro.wav
- %TEMP%\nsvaa27.tmp\moreinfo.dll
Удаляет следующие файлы
- %TEMP%\nsva322.tmp\ggvrhdwwdtt.dll
- %TEMP%\nsva322.tmp\rhjudoyzukb.dll
- %TEMP%\nsva322.tmp\rzoyxiro.wav
- %WINDIR%\temp\nsabcd9.tmp\ggvrhdwwdtt.dll
- %WINDIR%\temp\nsabcd9.tmp\rhjudoyzukb.dll
- %WINDIR%\temp\nsabcd9.tmp\rzoyxiro.wav
- %WINDIR%\temp\nsqc1cc.tmp\brh.dat
- %WINDIR%\temp\nsqc1cc.tmp\brh.dll
- %WINDIR%\temp\nsqc1cc.tmp\ipconfig.dll
- %WINDIR%\temp\nsqc1cc.tmp\md5dll.dll
- %WINDIR%\temp\nsqc1cc.tmp\nsiscrypt.dll
- %WINDIR%\temp\nsqc1cc.tmp\simplesc.dll
- %WINDIR%\temp\nsqc1cc.tmp\system.dll
Сетевая активность
Подключается к
- 'te####logietazo.com':443
UDP
- DNS ASK te####logietazo.com
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '%WINDIR%\syswow64\sc.exe' create -- binPath= ""<Полный путь к файлу>" /wl 1" (со скрытым окном)
- '%WINDIR%\syswow64\net.exe' start -- (со скрытым окном)
- '%WINDIR%\syswow64\net1.exe' start --
- '%WINDIR%\syswow64\sc.exe' delete -- (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\MRT /v DontReportInfectionInformation /t REG_DWORD /d 1 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\MRT /v DontReportInfectionInformation /t REG_DWORD /d 1 /f /reg:32 (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\MRT /v DontReportInfectionInformation /t REG_DWORD /d 1 /f /reg:64 (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\MRT /v DontOfferThroughWUAU /t REG_DWORD /d 1 /f (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\MRT /v DontOfferThroughWUAU /t REG_DWORD /d 1 /f /reg:32 (со скрытым окном)
- '%WINDIR%\syswow64\reg.exe' add HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\MRT /v DontOfferThroughWUAU /t REG_DWORD /d 1 /f /reg:64 (со скрытым окном)
