Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\turminoob
- <SYSTEM32>\tasks\payloadtask1
- <SYSTEM32>\tasks\payloadtask2
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\MagiskQvmSvc_940093] 'ImagePath' = 'cmd /c start sc create CleverSoar displayname= CleverSoar binPath= "%ProgramFiles(x86)%\Windows NT\tProtect.dll" type...
- [HKLM\System\CurrentControlSet\Services\CleverSoar] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\CleverSoar] 'ImagePath' = '%ProgramFiles(x86)%\Windows NT\tProtect.dll'
- [HKLM\System\CurrentControlSet\Services\MagiskQvmSvc_949515] 'ImagePath' = 'cmd /c start sc start CleverSoar'
- [HKLM\System\CurrentControlSet\Services\MagiskQvmSvc_950139] 'ImagePath' = 'cmd /c start sc start CleverSoar'
- [HKLM\System\CurrentControlSet\Services\MagiskQvmSvc_950701] 'ImagePath' = 'cmd /c start sc start CleverSoar'
- [HKLM\System\CurrentControlSet\Services\MagiskQvmSvc_951247] 'ImagePath' = 'cmd /c start schtasks /create /tn "turminoob" /xml "%ProgramFiles(x86)%\Windows NT\task.xml"'
- [HKLM\System\CurrentControlSet\Services\MagiskQvmSvc_951762] 'ImagePath' = 'cmd /c start reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\turmino...
- [HKLM\System\CurrentControlSet\Services\MagiskQvmSvc_952308] 'ImagePath' = 'cmd /c start reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\turm...
- [HKLM\System\CurrentControlSet\Services\MagiskQvmSvc_982868] 'ImagePath' = 'cmd /c start reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "ConsentPrompt...
- [HKLM\System\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Создает следующие сервисы
- 'MagiskQvmSvc_940093' cmd /c start sc create CleverSoar displayname= CleverSoar binPath= "%ProgramFiles(x86)%\Windows NT\tProtect.dll" type= kernel start= auto
- 'CleverSoar' %ProgramFiles(x86)%\Windows NT\tProtect.dll
- 'MagiskQvmSvc_949515' cmd /c start sc start CleverSoar
- 'MagiskQvmSvc_950139' cmd /c start sc start CleverSoar
- 'MagiskQvmSvc_950701' cmd /c start sc start CleverSoar
- 'MagiskQvmSvc_951247' cmd /c start schtasks /create /tn "turminoob" /xml "%ProgramFiles(x86)%\Windows NT\task.xml"
- 'MagiskQvmSvc_951762' cmd /c start reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\turminoob" /v Index /t REG_DWORD /d 0 /f
- 'MagiskQvmSvc_952308' cmd /c start reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\turminoob" /v SD /f
- 'MagiskQvmSvc_982868' cmd /c start reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "ConsentPromptBehaviorAdmin" /t REG_DWORD /d 5 /f
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'EnableFirewall' = '00000000'
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'EnableFirewall' = '00000000'
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DoNotAllowExceptions' = '00000000'
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DoNotAllowExceptions' = '00000000'
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath 'C:\'"
Запускает на исполнение
- '%WINDIR%\syswow64\netsh.exe' advfirewall set allprofiles state off
- '%WINDIR%\syswow64\netsh.exe' firewall set opmode mode=disable profile=ALL
- '%WINDIR%\syswow64\netsh.exe' firewall set opmode mode=disable
- '%WINDIR%\syswow64\net.exe' stop wuauserv
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-56h45.tmp\<Имя файла>.tmp
- %ProgramFiles(x86)%\windows nt\winnt.exe
- nul
- %ProgramFiles(x86)%\windows nt\tprotect.dll
- %ProgramFiles(x86)%\windows nt\locale7.dat
- %ProgramFiles(x86)%\windows nt\locale4.dat
- %ProgramFiles(x86)%\windows nt\locale3.dat
- %ProgramFiles(x86)%\windows nt\locale2.dat
- %ProgramFiles(x86)%\windows nt\locale.dat
- %ProgramFiles(x86)%\windows nt\trash
- %ProgramFiles(x86)%\windows nt\locale7.bin
- %ProgramFiles(x86)%\windows nt\locale4.bin
- %ProgramFiles(x86)%\windows nt\runtime.exe
- %ProgramFiles(x86)%\windows nt\locale3.bin
- %ProgramFiles(x86)%\windows nt\locale.bin
- %ProgramFiles(x86)%\windows nt\7zr.exe
- %ProgramFiles(x86)%\windows nt\res.dat
- %ProgramFiles(x86)%\windows nt\task.xml
- %ProgramFiles(x86)%\windows nt\hrsw.vbc
- %ProgramFiles(x86)%\windows nt\is-810ig.tmp
- %TEMP%\is-2sbk0.tmp\update.vbc
- %TEMP%\is-2sbk0.tmp\_isetup\_setup64.tmp
- %TEMP%\is-26deh.tmp\<Имя файла>.tmp
- %TEMP%\is-4e8ao.tmp\update.vbc
- %TEMP%\is-4e8ao.tmp\_isetup\_setup64.tmp
- %ProgramFiles(x86)%\windows nt\locale2.bin
- %ALLUSERSPROFILE%\displaysessioncontainers.log
Присваивает атрибут 'скрытый' для следующих файлов
- %ProgramFiles(x86)%\windows nt\tprotect.dll
- %ProgramFiles(x86)%\windows nt\trash
- %ProgramFiles(x86)%\windows nt\task.xml
- %ProgramFiles(x86)%\windows nt\res.dat
- %ProgramFiles(x86)%\windows nt\locale7.dat
- %ProgramFiles(x86)%\windows nt\locale7.bin
- %ProgramFiles(x86)%\windows nt\locale4.dat
- %ProgramFiles(x86)%\windows nt\locale4.bin
- %ProgramFiles(x86)%\windows nt\winnt.exe
- %ProgramFiles(x86)%\windows nt\locale3.dat
- %ProgramFiles(x86)%\windows nt\locale2.dat
- %ProgramFiles(x86)%\windows nt\locale2.bin
- %ProgramFiles(x86)%\windows nt\locale.dat
- %ProgramFiles(x86)%\windows nt\locale.bin
- %ProgramFiles(x86)%\windows nt\hrsw.vbc
- %ProgramFiles(x86)%\windows nt\file.dat
- %ProgramFiles(x86)%\windows nt\7zr.exe
- %ProgramFiles(x86)%\windows nt\locale3.bin
- %ProgramFiles(x86)%\windows nt\runtime.exe
Удаляет следующие файлы
- %TEMP%\is-4e8ao.tmp\update.vbc
- %TEMP%\is-4e8ao.tmp\_isetup\_setup64.tmp
- %TEMP%\is-56h45.tmp\<Имя файла>.tmp
- <SYSTEM32>\tasks\payloadtask1
- <SYSTEM32>\tasks\payloadtask2
Перемещает следующие файлы
- %ProgramFiles(x86)%\windows nt\is-810ig.tmp в %ProgramFiles(x86)%\windows nt\file.dat
Сетевая активность
Подключается к
- '15#.#24.26.96':6666
- 'kl##.xyz':8570
TCP
Другие
- '15#.#24.26.96':6666
UDP
- DNS ASK 80##.#wilight.zip
- DNS ASK kl##.xyz
- '80##.#wilight.zip':8005
- 'localhost':49533
- 'localhost':54616
Другое
Создает и запускает на исполнение
- '%TEMP%\is-56h45.tmp\<Имя файла>.tmp' /SL5="$6024C,8071911,845824,<Полный путь к файлу>"
- '%TEMP%\is-26deh.tmp\<Имя файла>.tmp' /SL5="$14011E,8071911,845824,<Полный путь к файлу>" /VERYSILENT
- '%ProgramFiles(x86)%\windows nt\7zr.exe' x -y res.dat -pad8dtyw9eyfd9aslyd9iald
- '%ProgramFiles(x86)%\windows nt\7zr.exe' x -y locale7.dat -pasfasdf79yf9layslofs
- '%ProgramFiles(x86)%\windows nt\7zr.exe' x -y -bd locale.dat -pfhliafyaiofyaif
- '%ProgramFiles(x86)%\windows nt\7zr.exe' x -bd -y locale2.dat -pfhuweihfiluwehfi1
- '%ProgramFiles(x86)%\windows nt\runtime.exe'
- '%ProgramFiles(x86)%\windows nt\winnt.exe'
Перезапускает анализируемый образец
Запускает на исполнение
- '%WINDIR%\syswow64\schtasks.exe' /Run /TN "\PayloadTask1"
- '%WINDIR%\syswow64\cmd.exe' /q /c SCHTASKS /Create /F /TN "\PayloadTask2" /RU "user" /RL HIGHEST /SC ONCE /ST 00:00 /TR "\"C:\\Program Files (x86)\\Windows NT\\runtime.exe\"" & SCHTASKS /Run /TN "\PayloadTask2" & schtasks... (со скрытым окном)
- '%WINDIR%\syswow64\net1.exe' stop wuauserv
- '%WINDIR%\syswow64\schtasks.exe' /Delete /TN "\PayloadTask1" /F
- '<SYSTEM32>\taskeng.exe' {CD26A0BB-9A6F-4650-8457-1EE62CB7A002} S-1-5-21-3691498038-2086406363-2140527554-1000:pxoyyg\user:Interactive:[1]
- '%WINDIR%\syswow64\cmd.exe' /q /c 7zr.exe x -bd -y locale2.dat -pfhuweihfiluwehfi1 > NUL 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c start reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "ConsentPromptBehaviorAdmin" /t REG_DWORD /d 5 /f
- '%WINDIR%\syswow64\schtasks.exe' /Create /F /TN "\PayloadTask2" /RU "user" /RL HIGHEST /SC ONCE /ST 00:00 /TR "\"C:\\Program Files (x86)\\Windows NT\\runtime.exe\""
- '%WINDIR%\syswow64\schtasks.exe' /Run /TN "\PayloadTask2"
- '%WINDIR%\syswow64\cmd.exe' /q /c SCHTASKS /Create /F /TN "\PayloadTask1" /RU "user" /RL HIGHEST /SC ONCE /ST 00:00 /TR "\"C:\\Program Files (x86)\\Windows NT\\winnt.exe\"" & SCHTASKS /Run /TN "\PayloadTask1" & schtasks /... (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "ConsentPromptBehaviorAdmin" /t REG_DWORD /d 5 /f
- '%WINDIR%\syswow64\schtasks.exe' /Create /F /TN "\PayloadTask1" /RU "user" /RL HIGHEST /SC ONCE /ST 00:00 /TR "\"C:\\Program Files (x86)\\Windows NT\\winnt.exe\""
- '%WINDIR%\syswow64\schtasks.exe' /Delete /TN "\PayloadTask2" /F
- '%WINDIR%\syswow64\sc.exe' config wuauserv start= disabled (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c start sc create CleverSoar displayname= CleverSoar binPath= "%ProgramFiles(x86)%\Windows NT\tProtect.dll" type= kernel start= auto
- '<SYSTEM32>\cmd.exe' /c start reg add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\turminoob" /v Index /t REG_DWORD /d 0 /f
- '<SYSTEM32>\reg.exe' delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\turminoob" /v SD /f
- '<SYSTEM32>\cmd.exe' /c start sc start CleverSoar
- '<SYSTEM32>\sc.exe' start CleverSoar
- '<SYSTEM32>\sc.exe' create CleverSoar displayname= CleverSoar binPath= "%ProgramFiles(x86)%\Windows NT\tProtect.dll" type= kernel start= auto
- '<SYSTEM32>\schtasks.exe' /create /tn "turminoob" /xml "%ProgramFiles(x86)%\Windows NT\task.xml"
- '%WINDIR%\syswow64\cmd.exe' /q /c 7zr.exe x -y -bd locale.dat -pfhliafyaiofyaif > NUL 2>&1 (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\turminoob" /v Index /t REG_DWORD /d 0 /f
- '<SYSTEM32>\cmd.exe' /c start reg delete "HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\turminoob" /v SD /f
- '<SYSTEM32>\cmd.exe' /c start schtasks /create /tn "turminoob" /xml "%ProgramFiles(x86)%\Windows NT\task.xml"
- '%ProgramFiles(x86)%\windows nt\7zr.exe' x -y locale7.dat -pasfasdf79yf9layslofs (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' advfirewall set allprofiles state off (со скрытым окном)
- '%WINDIR%\syswow64\net.exe' stop wuauserv (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' firewall set opmode mode=disable (со скрытым окном)
- '%WINDIR%\syswow64\netsh.exe' firewall set opmode mode=disable profile=ALL (со скрытым окном)
- '%ProgramFiles(x86)%\windows nt\runtime.exe' (со скрытым окном)
- '%ProgramFiles(x86)%\windows nt\winnt.exe' (со скрытым окном)
- '%ProgramFiles(x86)%\windows nt\7zr.exe' x -y res.dat -pad8dtyw9eyfd9aslyd9iald (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath 'C:\'" (со скрытым окном)
