Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\tooykupdate
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%ProgramFiles%\RealVNC\VNC Server\vncserver.exe" "VNC Server" ENABLE
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\SysWOW64\rserver30\rserver3.exe" "rserver3" ENABLE
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\ttvncs.exe" "TTVNC" ENABLE
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\RustDesk.exe" "RustDesk" ENABLE
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%ProgramFiles(x86)%\AnyDesk\AnyDesk.exe" "AnyDesk" ENABLE
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\Service.exe" "YService" ENABLE
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\Server.exe" "YServer" ENABLE
- '%WINDIR%\syswow64\netsh.exe' firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\vpn.exe" "YVPN" ENABLE
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\aut7963.tmp
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\vvjmhzzj\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\emobguss\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\9exzf23y\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\77sc375d\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\index.dat
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\history\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %TEMP%\auta7e5.tmp
- %TEMP%\7-zip32.dll
- %TEMP%\auta6db.tmp
- %TEMP%\update.dat
- %TEMP%\auta5c1.tmp
- %TEMP%\2996mhwapdt
- %TEMP%\aut9a4b.tmp
- %TEMP%\2528xilocuh
- %APPDATA%\microsoft\windows\cookies\low\index.dat
- %LOCALAPPDATA%\microsoft\windows\history\low\history.ie5\index.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\77sc375d\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\9exzf23y\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\emobguss\desktop.ini
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\low\content.ie5\vvjmhzzj\desktop.ini
Удаляет следующие файлы
- %TEMP%\aut7963.tmp
- %TEMP%\2528xilocuh
- <SYSTEM32>\tasks\tooykupdate
- %TEMP%\aut9a4b.tmp
- %TEMP%\2996mhwapdt
- %TEMP%\auta5c1.tmp
- %TEMP%\auta6db.tmp
- %TEMP%\7-zip32.dll
- %TEMP%\update.dat
- %TEMP%\auta7e5.tmp
Самоудаляется.
Сетевая активность
Подключается к
- 'to##k.com':80
TCP
Запросы HTTP GET
- http://www.to##k.com/onekey.dat
UDP
- DNS ASK to##k.com
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /create /TN TooykUpdate /RU user /SC ONCE /ST 10:30:00 /RL HIGHEST /F /TR "\"<Полный путь к файлу>\" /ErrorStdOut /Task" (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\vpn.exe" "YVPN" ENABLE (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\Server.exe" "YServer" ENABLE (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\Service.exe" "YService" ENABLE (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%ProgramFiles(x86)%\AnyDesk\AnyDesk.exe" "AnyDesk" ENABLE (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\RustDesk.exe" "RustDesk" ENABLE (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\YKJLFWD\ttvncs.exe" "TTVNC" ENABLE (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%WINDIR%\SysWOW64\rserver30\rserver3.exe" "rserver3" ENABLE (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c netsh firewall add allowedprogram "%ProgramFiles%\RealVNC\VNC Server\vncserver.exe" "VNC Server" ENABLE (со скрытым окном)
- '%WINDIR%\syswow64\rundll32.exe' "%WINDIR%\syswow64\WININET.dll",DispatchAPICall 1
- '%WINDIR%\syswow64\schtasks.exe' /delete /TN TooykUpdate /F
- '<SYSTEM32>\taskeng.exe' {324904D7-4200-43EB-8090-CB160327EAFE} S-1-5-21-3691498038-2086406363-2140527554-1000:ufzlyoh\user:Interactive:[1]
- '%WINDIR%\syswow64\cmd.exe' /c schtasks /delete /TN TooykUpdate /F (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /run /TN TooykUpdate /I
- '%WINDIR%\syswow64\chcp.com' 437
- '%WINDIR%\syswow64\cmd.exe' /c chcp 437 & schtasks /run /TN TooykUpdate /I (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /TN TooykUpdate /RU user /SC ONCE /ST 10:30:00 /RL HIGHEST /F /TR "\"<Полный путь к файлу>\" /ErrorStdOut /Task"
- '%WINDIR%\syswow64\cmd.exe' /c ping 127.0.0.1 -n 3&del /q "<Полный путь к файлу>" (со скрытым окном)
- '%WINDIR%\syswow64\ping.exe' 127.0.0.1 -n 3
- '<Полный путь к файлу>' /ErrorStdOut /Task (со скрытым окном)
