Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'lsass' = '"C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\lsass.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'lsass' = '"C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\lsass.exe"'
- [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\lsass.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'sppsvc' = '"<Текущая директория>\sppsvc.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'sppsvc' = '"<Текущая директория>\sppsvc.exe"'
- [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\lsass.exe", "<Текущая директория>\sppsvc.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'lsass' = '"C:\kms\lsass.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'lsass' = '"C:\kms\lsass.exe"'
- [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\lsass.exe", "<Текущая директория>\sppsvc.exe", "C:\kms\ls...
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'System' = '"%WINDIR%\ehome\CreateDisc\Styles\PAL\System.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'System' = '"%WINDIR%\ehome\CreateDisc\Styles\PAL\System.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'audiodg' = '"C:\kms\audiodg.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'audiodg' = '"C:\kms\audiodg.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"<Полный путь к файлу>"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"<Полный путь к файлу>"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\lsassl
- <SYSTEM32>\tasks\lsass
- <SYSTEM32>\tasks\sppsvcs
- <SYSTEM32>\tasks\sppsvc
- <SYSTEM32>\tasks\systems
- <SYSTEM32>\tasks\audiodga
- <SYSTEM32>\tasks\system
- <SYSTEM32>\tasks\<Имя файла>
- <SYSTEM32>\tasks\audiodg
- <SYSTEM32>\tasks\<Имя файла>c
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\lsass.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Текущая директория>\sppsvc.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\kms\lsass.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%WINDIR%\ehome\CreateDisc\Styles\PAL\System.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\kms\audiodg.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Полный путь к файлу>'
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\ec5c2272b6a50b
- %HOMEPATH%\desktop\fqdsciio.log
- %TEMP%\qe7ibevenm
- %TEMP%\zvvxkkmds4.bat
- %HOMEPATH%\desktop\cvfxusko.log
- %HOMEPATH%\desktop\nvypgpbk.log
- %HOMEPATH%\desktop\pzwimlow.log
- %HOMEPATH%\desktop\oulhmcyv.log
- %HOMEPATH%\desktop\lksyzbqr.log
- %TEMP%\scjv8mpld8
- %TEMP%\wckvrezrui.bat
- %HOMEPATH%\desktop\mvjquidt.log
- %HOMEPATH%\desktop\bqdynlkj.log
- %HOMEPATH%\desktop\shjidjeb.log
- %HOMEPATH%\desktop\cgkjpiak.log
- %HOMEPATH%\desktop\uimugyad.log
- %HOMEPATH%\desktop\xdfxwedd.log
- %HOMEPATH%\desktop\hcaocshn.log
- nul
- C:\kms\42af1c969fbb7b
- %WINDIR%\ehome\createdisc\styles\pal\system.exe
- %WINDIR%\ehome\createdisc\styles\pal\27d1bcfc3c54e0
- C:\kms\lsass.exe
- C:\kms\6203df4a6bafc7
- <Текущая директория>\sppsvc.exe
- C:\kms\audiodg.exe
- <Текущая директория>\0a1fd5f707cd16
- C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\6203df4a6bafc7
- %TEMP%\z5s3roy3.0.cs
- %TEMP%\z5s3roy3.cmdline
- %TEMP%\z5s3roy3.out
- %TEMP%\s9vbhku6o0
- %TEMP%\c87kepofyv.bat
- C:\recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\lsass.exe
- %HOMEPATH%\desktop\rcyidapb.log
- %HOMEPATH%\desktop\iyqstgzt.log
Удаляет следующие файлы
- %TEMP%\z5s3roy3.cmdline
- %TEMP%\z5s3roy3.0.cs
- %TEMP%\z5s3roy3.out
- %TEMP%\s9vbhku6o0
- %TEMP%\qe7ibevenm
- %TEMP%\scjv8mpld8
Перемещает следующие файлы
- %ProgramFiles%\microsoft office\office14\bcssync.exe в %ProgramFiles%\microsoft office\office14\bcssync.exe.exe
Сетевая активность
UDP
- DNS ASK 93#####m.n9shteam3.top
- 'localhost':123
Другое
Создает и запускает на исполнение
- '%WINDIR%\ehome\createdisc\styles\pal\system.exe'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "lsassl" /sc MINUTE /mo 5 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\lsass.exe'" /f
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\wckvReZrUI.bat" (со скрытым окном)
- '<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\zvVxKkmDS4.bat" (со скрытым окном)
- '<SYSTEM32>\ping.exe' -n 10 localhost
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\c87KePoFyV.bat" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>c" /sc MINUTE /mo 13 /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>c" /sc MINUTE /mo 7 /tr "'<Полный путь к файлу>'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "audiodga" /sc MINUTE /mo 6 /tr "'C:\kms\audiodg.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "audiodg" /sc ONLOGON /tr "'C:\kms\audiodg.exe'" /rl HIGHEST /f
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\mLBZigXOC1.bat" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "audiodga" /sc MINUTE /mo 6 /tr "'C:\kms\audiodg.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "System" /sc ONLOGON /tr "'%WINDIR%\ehome\CreateDisc\Styles\PAL\System.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "SystemS" /sc MINUTE /mo 11 /tr "'%WINDIR%\ehome\CreateDisc\Styles\PAL\System.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "lsassl" /sc MINUTE /mo 9 /tr "'C:\kms\lsass.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "lsass" /sc ONLOGON /tr "'C:\kms\lsass.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "lsassl" /sc MINUTE /mo 7 /tr "'C:\kms\lsass.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "sppsvcs" /sc MINUTE /mo 7 /tr "'<Текущая директория>\sppsvc.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "sppsvc" /sc ONLOGON /tr "'<Текущая директория>\sppsvc.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "sppsvcs" /sc MINUTE /mo 14 /tr "'<Текущая директория>\sppsvc.exe'" /f
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\z5s3roy3.cmdline" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "lsassl" /sc MINUTE /mo 14 /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\lsass.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "lsass" /sc ONLOGON /tr "'C:\Recovery\4d53d3aa-5835-11ef-baad-8f07b80b2fb5\lsass.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "SystemS" /sc MINUTE /mo 12 /tr "'%WINDIR%\ehome\CreateDisc\Styles\PAL\System.exe'" /rl HIGHEST /f
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\Hfmet1a8LI.bat" (со скрытым окном)
