Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\iexplorei
- <SYSTEM32>\tasks\iexplore
- <SYSTEM32>\tasks\firefoxf
- <SYSTEM32>\tasks\firefox
- <SYSTEM32>\tasks\audiodga
- <SYSTEM32>\tasks\audiodg
- <SYSTEM32>\tasks\wudfhostw
- <SYSTEM32>\tasks\wudfhost
- <SYSTEM32>\tasks\services
- <SYSTEM32>\tasks\servicess
- <SYSTEM32>\tasks\<Имя файла>f
- <SYSTEM32>\tasks\<Имя файла>
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%WINDIR%\Registration\CRMLog\audiodg.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\WUDFHost.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%ProgramFiles(x86)%\Adobe\Acrobat Reader DC\Setup Files\{AC76BA86-7AD7-1033-7B44-AC0F074E4100}\iexplore.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Текущая директория>\firefox.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Windows/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/xrxnbwi/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Users/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/System Volume Information/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Recovery/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/ProgramData/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Program Files (x86)/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Program Files/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/PerfLogs/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/kms/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/MSOCache/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/Documents and Settings/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:/$Recycle.Bin/'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%WINDIR%\DigitalLocker\en-US\services.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Полный путь к файлу>'
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\00e1a42b5becf7
- %HOMEPATH%\desktop\gvzjmlrw.log
- %HOMEPATH%\desktop\uamwwpad.log
- %TEMP%\89kjnydq1l.bat
- %TEMP%\e9brje0zft
- %HOMEPATH%\desktop\jfuzpdbf.log
- %HOMEPATH%\desktop\soopzggn.log
- %HOMEPATH%\desktop\dcsfjrbv.log
- %HOMEPATH%\desktop\jfpixtff.log
- nul
- %TEMP%\opmri6rk6d.bat
- %TEMP%\xybeq7o9sd
- %ProgramFiles(x86)%\adobe\acrobat reader dc\setup files\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\9db6e019d4f04e
- %ProgramFiles(x86)%\adobe\acrobat reader dc\setup files\{ac76ba86-7ad7-1033-7b44-ac0f074e4100}\iexplore.exe
- <Текущая директория>\0fc223bdacedc3
- <Текущая директория>\firefox.exe
- %WINDIR%\registration\crmlog\42af1c969fbb7b
- %WINDIR%\registration\crmlog\audiodg.exe
- C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\480b7989c529f6
- C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\wudfhost.exe
- %WINDIR%\digitallocker\en-us\c5b4cb5e9653cc
- %WINDIR%\digitallocker\en-us\services.exe
- %HOMEPATH%\desktop\yrrtcsbp.log
- %HOMEPATH%\desktop\poiesymh.log
Удаляет следующие файлы
- %TEMP%\xybeq7o9sd
- %TEMP%\e9brje0zft
Сетевая активность
UDP
- DNS ASK 12#####m.n9shteam.in
- 'localhost':123
Другое
Создает и запускает на исполнение
- '%WINDIR%\digitallocker\en-us\services.exe'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 9 /tr "'%ProgramFiles(x86)%\Adobe\Acrobat Reader DC\Setup Files\{AC76BA86-7AD7-1033-7B44-AC0F074E4100}\iexplore.exe'" /f
- '<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\oPmrI6rK6D.bat" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>f" /sc MINUTE /mo 13 /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>f" /sc MINUTE /mo 6 /tr "'<Полный путь к файлу>'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "servicess" /sc MINUTE /mo 5 /tr "'%WINDIR%\DigitalLocker\en-US\services.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "services" /sc ONLOGON /tr "'%WINDIR%\DigitalLocker\en-US\services.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "servicess" /sc MINUTE /mo 11 /tr "'%WINDIR%\DigitalLocker\en-US\services.exe'" /f
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\89KjNYDQ1l.bat" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 11 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\WUDFHost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "WUDFHostW" /sc MINUTE /mo 5 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\WUDFHost.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "audiodga" /sc MINUTE /mo 6 /tr "'%WINDIR%\Registration\CRMLog\audiodg.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "audiodg" /sc ONLOGON /tr "'%WINDIR%\Registration\CRMLog\audiodg.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "audiodga" /sc MINUTE /mo 8 /tr "'%WINDIR%\Registration\CRMLog\audiodg.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 5 /tr "'<Текущая директория>\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefox" /sc ONLOGON /tr "'<Текущая директория>\firefox.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "firefoxf" /sc MINUTE /mo 9 /tr "'<Текущая директория>\firefox.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplorei" /sc MINUTE /mo 13 /tr "'%ProgramFiles(x86)%\Adobe\Acrobat Reader DC\Setup Files\{AC76BA86-7AD7-1033-7B44-AC0F074E4100}\iexplore.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "iexplore" /sc ONLOGON /tr "'%ProgramFiles(x86)%\Adobe\Acrobat Reader DC\Setup Files\{AC76BA86-7AD7-1033-7B44-AC0F074E4100}\iexplore.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "WUDFHost" /sc ONLOGON /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\WUDFHost.exe'" /rl HIGHEST /f
- '<SYSTEM32>\ping.exe' -n 10 localhost
