Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\FZQGSygvbvMpWcLtyr] 'ImagePath' = '%TEMP%\FZQGSygvbvMpWcLtyr'
- [HKLM\SYSTEM\CurrentControlSet\Services\BdApiUtil64] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\BdApiUtil64] 'ImagePath' = 'C:\Users\Public\Documents\WindowsData\BdApiUtil64.sys'
- [HKLM\SYSTEM\CurrentControlSet\Services\Cndom6] 'ImagePath' = 'C:\Cndom6.sys'
- [HKLM\SYSTEM\CurrentControlSet\Services\XiaoH] 'ImagePath' = 'C:\XiaoH.sys'
Создает следующие сервисы
- 'FZQGSygvbvMpWcLtyr' %TEMP%\FZQGSygvbvMpWcLtyr
- 'BdApiUtil64' C:\Users\Public\Documents\WindowsData\BdApiUtil64.sys
- 'Cndom6' C:\Cndom6.sys
- 'XiaoH' C:\XiaoH.sys
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\tracerpt.exe
- %WINDIR%\syswow64\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-psmr3.tmp\<Имя файла>.tmp
- %TEMP%\is-vbabu.tmp\_isetup\_setup64.tmp
- %TEMP%\is-vbabu.tmp\_isetup\_shfoldr.dll
- %ALLUSERSPROFILE%\windowsdata\is-vrsv5.tmp
- %ALLUSERSPROFILE%\windowsdata\is-kfild.tmp
- %ALLUSERSPROFILE%\windowsdata\is-8k2ju.tmp
- %ALLUSERSPROFILE%\windowsdata\funzip.exe
- %ALLUSERSPROFILE%\windowsdata\men.exe
- %ALLUSERSPROFILE%\windowsdata\setup.exe
- C:\users\public\documents\windowsdata\tree.exe
- C:\users\public\documents\windowsdata\me.key
- C:\users\public\documents\windowsdata\edr.key
- C:\users\public\documents\windowsdata\kail.exe
- C:\users\public\documents\windowsdata\nvidia.exe
- C:\users\public\documents\windowsdata\x.vbe
- C:\users\public\documents\windowsdata\bypass.exe
- C:\users\public\documents\windowsdata\bdapiutil64.sys
- C:\users\public\documents\windowsdata\kgsekkdkce.exe
- C:\users\public\documents\windowsdata\nvidia.lnk
- C:\users\public\documents\windowsdata\rwdriver.cat
- C:\users\public\documents\windowsdata\rwdriver.sys
- C:\users\public\documents\windowsdata\main.exe
- %TEMP%\fzqgsygvbvmpwcltyr
- C:\users\public\documents\windowsdata\nthandlecallback.exe
- C:\users\public\documents\windowsdata\log.dll
- C:\cndom6.sys
- C:\xiaoh.sys
- %ALLUSERSPROFILE%\displaysessioncontainers.log
Перемещает следующие файлы
- %ALLUSERSPROFILE%\windowsdata\is-vrsv5.tmp в %ALLUSERSPROFILE%\windowsdata\gynxyplttm.xml
- %ALLUSERSPROFILE%\windowsdata\is-kfild.tmp в %ALLUSERSPROFILE%\windowsdata\main.xml
- %ALLUSERSPROFILE%\windowsdata\is-8k2ju.tmp в %ALLUSERSPROFILE%\windowsdata\server.log
- %ALLUSERSPROFILE%\windowsdata\server.log в C:\users\public\documents\windowsdata\server.log
Сетевая активность
Подключается к
- '15#.#3.178.208':8880
TCP
Другие
- '15#.#3.178.208':8880
Другое
Создает и запускает на исполнение
- '%TEMP%\is-psmr3.tmp\<Имя файла>.tmp' /SL5="$D018E,11178862,161792,<Полный путь к файлу>"
- '%ALLUSERSPROFILE%\windowsdata\funzip.exe' x -y -phtLcENyRFYwXsHFnUnqK -o"%ALLUSERSPROFILE%\WindowsData" "%ALLUSERSPROFILE%\WindowsData\main.xml"
- '%ALLUSERSPROFILE%\windowsdata\setup.exe'
- '%ALLUSERSPROFILE%\windowsdata\men.exe'
- 'C:\users\public\documents\windowsdata\bypass.exe'
- 'C:\users\public\documents\windowsdata\nvidia.exe'
- 'C:\users\public\documents\windowsdata\kgsekkdkce.exe'
- 'C:\users\public\documents\windowsdata\nthandlecallback.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c wmic path win32_networkadapter where NetEnabled=FALSE call enable (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' path win32_networkadapter where NetEnabled=FALSE call enable
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -Command "[Console]::OutputEncoding=[System.Text.Encoding]::UTF8;(Get-MpPreference).ExclusionPath|Out-String -Width 4096" (со скрытым окном)
- '%WINDIR%\syswow64\tracerpt.exe' (со скрытым окном)
- '<SYSTEM32>\sc.exe' create rwdriver binPath= "C:\Users\Public\Documents\WindowsData\rwdriver.sys" type= kernel start= demand (со скрытым окном)
- '<SYSTEM32>\sc.exe' start rwdriver (со скрытым окном)
- '%ALLUSERSPROFILE%\windowsdata\funzip.exe' x -y -phtLcENyRFYwXsHFnUnqK -o"%ALLUSERSPROFILE%\WindowsData" "%ALLUSERSPROFILE%\WindowsData\main.xml" (со скрытым окном)
- '%ALLUSERSPROFILE%\windowsdata\men.exe' (со скрытым окном)
- 'C:\users\public\documents\windowsdata\nvidia.exe' (со скрытым окном)
- 'C:\users\public\documents\windowsdata\nthandlecallback.exe' (со скрытым окном)
