Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ProgramFiles(x86)%\Windows Photo Viewer\en-US\firefox.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ProgramFiles(x86)%\Steam\logs\audiodg.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\kms\iexplore.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ProgramFiles%\Java\jre1.8.0_45\lib\firefox.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Windows/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/vaiee/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Users/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/System Volume Information/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Recovery/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/ProgramData/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Program Files (x86)/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Program Files/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/PerfLogs/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/kms/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/MSOCache/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Documents and Settings/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/$Recycle.Bin/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%WINDIR%\addins\csrss.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Полный путь к файлу>'
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\1e6e0b0e708a14
- %TEMP%\miejx2agtp
- %TEMP%\5giypowq39
- %TEMP%\dapnlr1onk
- %TEMP%\uqjbpay60z
- %TEMP%\i9h8f2yqsz
- %TEMP%\oo9svmbbnh
- %TEMP%\q9msctmbno
- %TEMP%\oypmbfbsvk
- %TEMP%\6c2wrnxbbe
- %HOMEPATH%\desktop\arummhng.log
- %HOMEPATH%\desktop\judcwadn.log
- %HOMEPATH%\desktop\lfzdwsio.log
- %TEMP%\dbz3wiuohr
- %HOMEPATH%\desktop\arpvuwsf.log
- %TEMP%\ednvbjws1t.bat
- %TEMP%\pmyntrvpf7
- %ProgramFiles%\java\jre1.8.0_45\lib\0fc223bdacedc3
- %ProgramFiles%\java\jre1.8.0_45\lib\firefox.exe
- C:\kms\9db6e019d4f04e
- C:\kms\iexplore.exe
- %ProgramFiles(x86)%\steam\logs\42af1c969fbb7b
- %ProgramFiles(x86)%\steam\logs\audiodg.exe
- %ProgramFiles(x86)%\windows photo viewer\en-us\0fc223bdacedc3
- %ProgramFiles(x86)%\windows photo viewer\en-us\firefox.exe
- %WINDIR%\addins\886983d96e3d3e
- %WINDIR%\addins\csrss.exe
- nul
- %TEMP%\fkpwjoikwa
Удаляет следующие файлы
- %TEMP%\pmyntrvpf7
- %TEMP%\6c2wrnxbbe
Сетевая активность
Подключается к
- '08#####m.n9shteam.in':80
TCP
Запросы HTTP POST
- http://08#####m.n9shteam.in/vmBase.php
UDP
- DNS ASK 08#####m.n9shteam.in
Другое
Создает и запускает на исполнение
- '%WINDIR%\addins\csrss.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\EDnvbjwS1T.bat" (со скрытым окном)
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\ping.exe' -n 10 localhost
