Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'smss' = '"C:\MSOCache\All Users\{90140000-00BA-0409-1000-0000000FF1CE}-C\smss.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'smss' = '"C:\MSOCache\All Users\{90140000-00BA-0409-1000-0000000FF1CE}-C\smss.exe"'
- [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\MSOCache\All Users\{90140000-00BA-0409-1000-0000000FF1CE}-C\smss.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'taskhost' = '"C:\kms\taskhost.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'taskhost' = '"C:\kms\taskhost.exe"'
- [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\MSOCache\All Users\{90140000-00BA-0409-1000-0000000FF1CE}-C\smss.exe", "C:\kms\taskhost.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'wininit' = '"<Текущая директория>\wininit.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'wininit' = '"<Текущая директория>\wininit.exe"'
- [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\MSOCache\All Users\{90140000-00BA-0409-1000-0000000FF1CE}-C\smss.exe", "C:\kms\taskhost.exe", "<Текущая...
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Idle' = '"<Текущая директория>\Idle.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'Idle' = '"<Текущая директория>\Idle.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"%ProgramFiles(x86)%\Uninstall Information\csrss.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"%ProgramFiles(x86)%\Uninstall Information\csrss.exe"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\smsss
- <SYSTEM32>\tasks\smss
- <SYSTEM32>\tasks\taskhostt
- <SYSTEM32>\tasks\taskhost
- <SYSTEM32>\tasks\wininitw
- <SYSTEM32>\tasks\wininit
- <SYSTEM32>\tasks\idle
- <SYSTEM32>\tasks\csrssc
- <SYSTEM32>\tasks\idlei
- <SYSTEM32>\tasks\csrss
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\MSOCache\All Users\{90140000-00BA-0409-1000-0000000FF1CE}-C\smss.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Текущая директория>\wininit.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\kms\taskhost.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Текущая директория>\Idle.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ProgramFiles(x86)%\Uninstall Information\csrss.exe'
Изменения в файловой системе
Создает следующие файлы
- C:\msocache\all users\{90140000-00ba-0409-1000-0000000ff1ce}-c\smss.exe
- %HOMEPATH%\desktop\buknwhpx.log
- %HOMEPATH%\desktop\nyyyjiuc.log
- %HOMEPATH%\desktop\sqexgfme.log
- nul
- %TEMP%\mghgmpo2b3.bat
- %TEMP%\dkwasujgfz
- %TEMP%\ebvbqcyg.out
- %TEMP%\ebvbqcyg.cmdline
- %HOMEPATH%\desktop\cjlssbuc.log
- %TEMP%\ebvbqcyg.0.cs
- %ProgramFiles(x86)%\uninstall information\csrss.exe
- <Текущая директория>\6ccacd8608530f
- <Текущая директория>\idle.exe
- <Текущая директория>\56085415360792
- <Текущая директория>\wininit.exe
- C:\kms\b75386f1303e64
- C:\kms\taskhost.exe
- C:\msocache\all users\{90140000-00ba-0409-1000-0000000ff1ce}-c\69ddcba757bf72
- %ProgramFiles(x86)%\uninstall information\886983d96e3d3e
- %HOMEPATH%\desktop\sarcizpu.log
Удаляет следующие файлы
- %TEMP%\ebvbqcyg.cmdline
- %TEMP%\ebvbqcyg.out
- %TEMP%\ebvbqcyg.0.cs
- %TEMP%\dkwasujgfz
Перемещает следующие файлы
- %ProgramFiles%\microsoft office\office14\bcssync.exe в %ProgramFiles%\microsoft office\office14\bcssync.exe.exe
Сетевая активность
Подключается к
- '94.##0.254.172':80
TCP
Запросы HTTP POST
- http://94.##0.254.172/17Datalife/Generator/3RequestFlowerWindows/packet/CpugameEternal/1To/5/1apisql9/Windowsdle/Wp/ExternalPythonmariadbupdate/default/Longpolltrafficuniversalbigload/geomulti/...
UDP
- 'localhost':123
Другое
Создает и запускает на исполнение
- 'C:\msocache\all users\{90140000-00ba-0409-1000-0000000ff1ce}-c\smss.exe'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "smsss" /sc MINUTE /mo 5 /tr "'C:\MSOCache\All Users\{90140000-00BA-0409-1000-0000000FF1CE}-C\smss.exe'" /f
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\Mghgmpo2b3.bat" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 5 /tr "'%ProgramFiles(x86)%\Uninstall Information\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Uninstall Information\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 7 /tr "'%ProgramFiles(x86)%\Uninstall Information\csrss.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 10 /tr "'<Текущая директория>\Idle.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "Idle" /sc ONLOGON /tr "'<Текущая директория>\Idle.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "IdleI" /sc MINUTE /mo 11 /tr "'<Текущая директория>\Idle.exe'" /f
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\schtasks.exe' /create /tn "wininitw" /sc MINUTE /mo 5 /tr "'<Текущая директория>\wininit.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "wininitw" /sc MINUTE /mo 13 /tr "'<Текущая директория>\wininit.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 9 /tr "'C:\kms\taskhost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "taskhost" /sc ONLOGON /tr "'C:\kms\taskhost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "taskhostt" /sc MINUTE /mo 12 /tr "'C:\kms\taskhost.exe'" /f
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\ebvbqcyg.cmdline" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "smsss" /sc MINUTE /mo 9 /tr "'C:\MSOCache\All Users\{90140000-00BA-0409-1000-0000000FF1CE}-C\smss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "smss" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90140000-00BA-0409-1000-0000000FF1CE}-C\smss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "wininit" /sc ONLOGON /tr "'<Текущая директория>\wininit.exe'" /rl HIGHEST /f
- '<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2
