Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\securityhealthsetup
Создает следующие файлы на съемном носителе
- <Имя диска съемного носителя>:\securityhealthsetup.exe
- <Имя диска съемного носителя>:\168.jpg.lnk
- <Имя диска съемного носителя>:\pushkin.jpg.lnk
- <Имя диска съемного носителя>:\parnas_01.jpg.lnk
- <Имя диска съемного носителя>:\1189.jpg.lnk
- <Имя диска съемного носителя>:\3.jpg.lnk
- <Имя диска съемного носителя>:\210252809.jpg.lnk
- <Имя диска съемного носителя>:\2.jpg.lnk
- <Имя диска съемного носителя>:\adadsi.html.lnk
- <Имя диска съемного носителя>:\168.jpeg.lnk
- <Имя диска съемного носителя>:\13.jpeg.lnk
- <Имя диска съемного носителя>:\parnas_01.jpeg.lnk
- <Имя диска съемного носителя>:\1189.jpeg.lnk
- <Имя диска съемного носителя>:\iisstart.html.lnk
- <Имя диска съемного носителя>:\alert.html.lnk
- <Имя диска съемного носителя>:\about.html.lnk
- <Имя диска съемного носителя>:\browse.html.lnk
- <Имя диска съемного носителя>:\pushkin.jpeg.lnk
- <Имя диска съемного носителя>:\ituneshelpunavailable.html.lnk
- <Имя диска съемного носителя>:\scan.mov.lnk
- <Имя диска съемного носителя>:\tunpersonalca1.pem.lnk
- <Имя диска съемного носителя>:\ksearch_esa_talk.ppt.lnk
- <Имя диска съемного носителя>:\accountsreceivable.ppt.lnk
- <Имя диска съемного носителя>:\sim_gametheory_to_finance.ppt.lnk
- <Имя диска съемного носителя>:\writingcompletesarnarrative_1103.ppt.lnk
- <Имя диска съемного носителя>:\background.png.lnk
- <Имя диска съемного носителя>:\calibre.png.lnk
- <Имя диска съемного носителя>:\arrow-down.png.lnk
- <Имя диска съемного носителя>:\d0068197bb5a41fea16a220c45390606.mp4.lnk
- <Имя диска съемного носителя>:\firefly1.mov.lnk
- <Имя диска съемного носителя>:\irgeek.pem.lnk
- <Имя диска съемного носителя>:\delongcacert.pem.lnk
- <Имя диска съемного носителя>:\7790_preview.pdf.lnk
- <Имя диска съемного носителя>:\bc01.pdf.lnk
- <Имя диска съемного носителя>:\spib_pima.pdf.lnk
- <Имя диска съемного носителя>:\2015-02-patients-topic-work-related-asthma-jobs.pdf.lnk
- <Имя диска съемного носителя>:\video.mp4.lnk
- <Имя диска съемного носителя>:\block.png.lnk
- <Имя диска съемного носителя>:\howto-index.html.lnk
- <Имя диска съемного носителя>:\trivial-merge.html.lnk
- <Имя диска съемного носителя>:\ituneshelpunavailable.htm.lnk
- <Имя диска съемного носителя>:\testee.cer.lnk
- <Имя диска съемного носителя>:\contoso_1.cer.lnk
- <Имя диска съемного носителя>:\testcertificate.cer.lnk
- <Имя диска съемного носителя>:\contoso.cer.lnk
- <Имя диска съемного носителя>:\contosoroot.cer.lnk
- <Имя диска съемного носителя>:\dashborder_120.bmp.lnk
- <Имя диска съемного носителя>:\508softwareandos.doc.lnk
- <Имя диска съемного носителя>:\dialmap.bmp.lnk
- <Имя диска съемного носителя>:\default.bmp.lnk
- <Имя диска съемного носителя>:\dashborder_192.bmp.lnk
- <Имя диска съемного носителя>:\correct.avi.lnk
- <Имя диска съемного носителя>:\000814251_video_01.avi.lnk
- <Имя диска съемного носителя>:\archer.avi.lnk
- <Имя диска съемного носителя>:\delete.avi.lnk
- <Имя диска съемного носителя>:\split.avi.lnk
- <Имя диска съемного носителя>:\toolbar.bmp.lnk
- <Имя диска съемного носителя>:\uep_form_786_bulletin_1726i602.doc.lnk
- <Имя диска съемного носителя>:\sdksampleunprivdeveloper.cer.lnk
- <Имя диска съемного носителя>:\weeklysheet1215.doc.lnk
- <Имя диска съемного носителя>:\garden.htm.lnk
- <Имя диска съемного носителя>:\thlps_keeper_mayer_1965.docx.lnk
- <Имя диска съемного носителя>:\tree_view.htm.lnk
- <Имя диска съемного носителя>:\advice_process.htm.lnk
- <Имя диска съемного носителя>:\trivial-merge.htm.lnk
- <Имя диска съемного носителя>:\chromesetup.exe.lnk
- <Имя диска съемного носителя>:\utorrent.exe.lnk
- <Имя диска съемного носителя>:\skypesetup.exe.lnk
- <Имя диска съемного носителя>:\notepad.exe.lnk
- <Имя диска съемного носителя>:\issi2013_template_for_posters.docx.lnk
- <Имя диска съемного носителя>:\cveuropeo.doc.lnk
- <Имя диска съемного носителя>:\sdszfo.docx.lnk
- <Имя диска съемного носителя>:\adhd_and_obesity.docx.lnk
- <Имя диска съемного носителя>:\glidescope_review_rev_010.docx.lnk
- <Имя диска съемного носителя>:\aoc_saq_d_v3_merchant.docx.lnk
- <Имя диска съемного носителя>:\february_catalogue__2015.doc.lnk
- <Имя диска съемного носителя>:\fi51.doc.lnk
- <Имя диска съемного носителя>:\ovp25012015.doc.lnk
- <Имя диска съемного носителя>:\sacs_presentation_sacs_qep_improving_rt_education_final.ppt.lnk
- <Имя диска съемного носителя>:\metac.ppt.lnk
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%WINDIR%\SecurityHealthSetup.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess 'SecurityHealthSetup.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%APPDATA%\SecurityHealthSetup.exe'
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\securityhealthsetup.exe
- %TEMP%\zimo free.exe
- %APPDATA%\securityhealthsetup.exe
Присваивает атрибут 'скрытый' для следующих файлов
- <Имя диска съемного носителя>:\securityhealthsetup.exe
Сетевая активность
Подключается к
- 'co##############e-chains.prod.autograph.services.mozaws.net':443
- 'ip##pi.com':80
TCP
Запросы HTTP GET
- http://ip##pi.com/line/?fi############
UDP
- DNS ASK co##############e-chains.prod.autograph.services.mozaws.net
- DNS ASK ip##pi.com
Другое
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%WINDIR%\securityhealthsetup.exe'
- '%TEMP%\zimo free.exe'
- '%APPDATA%\securityhealthsetup.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -EncodedCommand "PAAjAHoAcQBoACMAPgBBAGQAZAAtAE0AcABQAHIAZQBmAGUAcgBlAG4AYwBlACAAPAAjAG4AegBjACMAPgAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgAEAAKAAkAGUAbgB2ADoAVQBzAGUAcgBQAHIAbwBmAGkAbABlACwA... (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /f /RL HIGHEST /sc minute /mo 1 /tn "SecurityHealthSetup" /tr "%APPDATA%\SecurityHealthSetup.exe" (со скрытым окном)
- '<SYSTEM32>\taskeng.exe' {3AC01A9C-F1A5-4881-A2DE-025885C3C019} S-1-5-21-3691498038-2086406363-2140527554-1000:ywogiob\user:Interactive:[1]
- '%WINDIR%\securityhealthsetup.exe' (со скрытым окном)
- '%TEMP%\zimo free.exe' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%WINDIR%\SecurityHealthSetup.exe' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionProcess 'SecurityHealthSetup.exe' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass Add-MpPreference -ExclusionPath '%APPDATA%\SecurityHealthSetup.exe' (со скрытым окном)
- '%APPDATA%\securityhealthsetup.exe' (со скрытым окном)
