Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\dzxtq
- <SYSTEM32>\tasks\syncroot
- <SYSTEM32>\tasks\kyzcpuq
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%WINDIR%\Microsoft.NET\Framework64\v4.0.30319\WinRing0x64.sys'
Создает следующие сервисы
- 'WinRing0_1_2_0' %WINDIR%\Microsoft.NET\Framework64\v4.0.30319\WinRing0x64.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -NoProfile -Command "Add-MpPreference -ExclusionPath '%APPDATA%\MemberType\SyncRoot.exe' -Force ; Add-MpPreference -ExclusionPath '%WINDIR%\Microsoft.NET\Framework64\v4.0.30...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -WindowStyle Hidden -NoProfile -enc QQBEAEQALQBNAFAAUAByAGUARgBlAFIARQBuAEMAZQAgAC0AZQB4AGMATAB1AFMASQBPAG4AUABSAE8AYwBFAHMAUwAgAEEAZABkAEkAbgBQAHIAbwBjAGUAcwBzAC4AZQB4A...
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework64\v4.0.30319\regsvcs.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\addinprocess.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\windowspowershell\v1.0\powershell.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\content\4664-3128-<Имя файла>.exe-10-40-34-164.dump
- %TEMP%\content\4664-3128-<Имя файла>.exe-10-40-35-634.dump
- %TEMP%\content\4664-3128-<Имя файла>.exe-10-40-35-640.dump
- %TEMP%\content\4664-3128-<Имя файла>.exe-10-40-49-053.dump
- %APPDATA%\membertype\syncroot.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- %TEMP%\content\5112-4696-syncroot.exe-10-41-20-521.dump
- %TEMP%\content\5112-4696-syncroot.exe-10-41-21-461.dump
- %TEMP%\content\5112-4696-syncroot.exe-10-41-21-492.dump
- %TEMP%\content\5112-4696-syncroot.exe-10-41-23-788.dump
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\syncroot.exe.log
- %TEMP%\content\3684-3688-regsvcs.exe-10-41-30-775.dump
- %TEMP%\content\3684-3688-regsvcs.exe-10-41-31-765.dump
- %TEMP%\content\3684-3688-regsvcs.exe-10-41-31-781.dump
- %TEMP%\content\3684-2068-regsvcs.exe-10-41-42-344.dump
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\membertype\syncroot.exe
Удаляет следующие файлы
- <SYSTEM32>\tasks\dzxtq
- <SYSTEM32>\tasks\kyzcpuq
Сетевая активность
Подключается к
- '17#.#18.198.215':39001
- '17#.#18.198.215':80
- '17#.#18.198.215':49301
TCP
Запросы HTTP GET
- http://17#.#18.198.215/plugin3.plg
Другие
- '17#.#18.198.215':39001
- '17#.#18.198.215':49301
Другое
Создает и запускает на исполнение
- '%APPDATA%\membertype\syncroot.exe'
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -NoProfile -Command "System.Collections.Generic.List`1[System.String]"
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\regsvcs.exe' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\addinprocess.exe' --algo rx/0 -o 17#.#18.198.215:49301 -u 8BpDxLGb48ycrf4oHsPerZFRKJ76FWAD96VJe2ZxHA7G6tgTz9h2hFVWZYrzQLvrR3N8xneHDNrvf1xKn4gaZRX2E6yes9F.Worker_CPU -p x --cpu-max-threads-hint=50 -k (со скрытым окном)
