Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\mqfqfsla
- <SYSTEM32>\tasks\microsoft\windows\method\typeid
- <SYSTEM32>\tasks\jbnyon
- <SYSTEM32>\tasks\microsoft\windows\methodsignature\areauditrulescanonical
- <SYSTEM32>\tasks\rivvh
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -WindowStyle Hidden -NoProfile -enc QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgAEMAOgBcAFUAcwBlAHIAcwBcAHUAcwBlAHIAXABBAHAAcABEA...
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework64\v4.0.30319\aspnet_compiler.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\msbuild.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\windowspowershell\v1.0\powershell.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\vc_redist.x86.exe
- %TEMP%\rarsfx0\dotnetfx46_full_setup.exe
- %TEMP%\content\4564-556-vc_redist.x86.exe-13-16-34-293.dump
- %TEMP%\content\4564-556-vc_redist.x86.exe-13-16-38-330.dump
- %TEMP%\content\4564-556-vc_redist.x86.exe-13-16-38-410.dump
- %TEMP%\content\4564-556-vc_redist.x86.exe-13-17-02-166.dump
- %APPDATA%\method\typeid.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\vc_redist.x86.exe.log
- %TEMP%\content\3664-3780-dotnetfx46_full_setup.exe-13-17-28-299.dump
- %TEMP%\content\3664-3780-dotnetfx46_full_setup.exe-13-17-29-623.dump
- %TEMP%\content\3664-3780-dotnetfx46_full_setup.exe-13-17-29-645.dump
- %TEMP%\content\2276-4472-typeid.exe-13-17-33-621.dump
- %TEMP%\content\2276-4472-typeid.exe-13-17-35-134.dump
- %TEMP%\content\2276-4472-typeid.exe-13-17-35-163.dump
- %TEMP%\content\3664-3780-dotnetfx46_full_setup.exe-13-17-38-904.dump
- %TEMP%\content\2276-4472-typeid.exe-13-17-41-846.dump
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\typeid.exe.log
- %TEMP%\content\4712-4212-aspnet_compiler.exe-13-17-56-330.dump
- %TEMP%\content\4712-4212-aspnet_compiler.exe-13-17-57-842.dump
- %TEMP%\content\4712-4212-aspnet_compiler.exe-13-17-57-864.dump
- %LOCALAPPDATA%\methodsignature\ncluoeu\areauditrulescanonical.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\dotnetfx46_full_setup.exe.log
- %TEMP%\content\976-4692-areauditrulescanonical.exe-13-18-32-341.dump
- %TEMP%\content\976-4692-areauditrulescanonical.exe-13-18-32-850.dump
- %TEMP%\content\976-4692-areauditrulescanonical.exe-13-18-32-870.dump
- %TEMP%\content\976-4692-areauditrulescanonical.exe-13-18-34-915.dump
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\areauditrulescanonical.exe.log
- %TEMP%\content\5088-5068-msbuild.exe-13-18-35-628.dump
- %TEMP%\content\5088-5068-msbuild.exe-13-18-36-211.dump
- %TEMP%\content\5088-5068-msbuild.exe-13-18-36-232.dump
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\method\typeid.exe
Удаляет следующие файлы
- <SYSTEM32>\tasks\mqfqfsla
- <SYSTEM32>\tasks\jbnyon
- <SYSTEM32>\tasks\rivvh
Сетевая активность
Подключается к
- 'lo######reedlophr.com.de':39001
TCP
Другие
- 'lo######reedlophr.com.de':39001
UDP
- DNS ASK lo######reedlophr.com.de
Другое
Ищет следующие окна
- ClassName: 'EDIT' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\rarsfx0\vc_redist.x86.exe'
- '%TEMP%\rarsfx0\dotnetfx46_full_setup.exe'
- '%APPDATA%\method\typeid.exe'
- '%LOCALAPPDATA%\methodsignature\ncluoeu\areauditrulescanonical.exe'
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\aspnet_compiler.exe' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\msbuild.exe'
