Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\NA48L_4212] 'ImagePath' = '%WINDIR%\Temp\Ly1zK_4212.sys'
- [HKLM\System\ControlSet001\Services\{A5E9F5BE-4189-F011-BC9E-1C4040554B6F}] 'Start' = '00000000'
- [HKLM\System\ControlSet001\Services\{A5E9F5BE-4189-F011-BC9E-1C4040554B6F}] 'ImagePath' = 'System32\{A4E9F5BE-4189-F011-BC9E-1C4040554B6F}'
Создает следующие сервисы
- 'NA48L_4212' %WINDIR%\Temp\Ly1zK_4212.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath %WINDIR%\Temp\
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\werfault.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\temp\yw8j0z_4212.tmp
- %WINDIR%\temp\ly1zk_4212.sys
Удаляет файлы, которые сам же создал
- %WINDIR%\temp\ly1zk_4212.sys
Сетевая активность
Подключается к
- 'localhost':49691
- '23.##.245.178':80
- 'localhost':49694
- 'localhost':49696
- 'localhost':49699
- 'localhost':49702
- 'localhost':49705
- 'localhost':49708
- 'localhost':49711
- 'localhost':49714
- 'localhost':49718
- 'localhost':49721
- 'localhost':49722
- 'localhost':49728
- 'localhost':49727
- 'localhost':49733
- 'localhost':49735
- 'localhost':49738
- 'localhost':49742
- 'localhost':49745
- 'localhost':49748
- 'localhost':49750
- 'localhost':49751
- 'localhost':49756
- 'localhost':49758
- 'localhost':49762
- 'localhost':49764
- 'localhost':49769
- 'localhost':49772
- 'localhost':49775
- 'localhost':49778
- 'localhost':49781
- 'localhost':49784
- 'localhost':49787
- 'localhost':49790
- 'localhost':49793
- 'localhost':49796
- 'localhost':49798
- 'ma##r.info':443
- 'localhost':49801
- 'localhost':49804
- 'localhost':49807
- 'localhost':49808
- 'localhost':49814
- 'localhost':49813
- 'localhost':49819
- 'localhost':49822
- 'localhost':49825
- 'localhost':49820
- 'localhost':49831
- '23.##.245.178':443
- 'localhost':49835
- 'localhost':49837
- 'localhost':49841
- 'localhost':49844
- 'localhost':49846
- 'localhost':49849
- 'localhost':49853
- 'localhost':49860
- 'localhost':49862
TCP
Запросы HTTP GET
Другие
- 'localhost':49691
- 'localhost':49694
- 'localhost':49696
- 'localhost':49699
- 'localhost':49702
- 'localhost':49705
- 'localhost':49708
- 'localhost':49714
- 'localhost':49711
- 'localhost':49718
- 'localhost':49721
- 'localhost':49722
- 'localhost':49728
- 'localhost':49727
- 'localhost':49733
- 'localhost':49735
- 'localhost':49738
- 'localhost':49742
- 'localhost':49745
- 'localhost':49748
- 'localhost':49750
- 'localhost':49751
- 'localhost':49756
- 'localhost':49758
- 'localhost':49764
- 'localhost':49762
- 'localhost':49769
- 'localhost':49772
- 'localhost':49775
- 'localhost':49778
- 'localhost':49781
- 'localhost':49784
- 'localhost':49787
- 'localhost':49790
- 'localhost':49793
- 'localhost':49796
- 'localhost':49798
- 'localhost':49799
- 'ma##r.info':443
- 'localhost':49801
- 'localhost':49804
- 'localhost':49807
- 'localhost':49808
- 'localhost':49814
- 'localhost':49813
- 'localhost':49819
- 'localhost':49822
- 'localhost':49825
- 'localhost':49820
- 'localhost':49831
- 'localhost':49835
- 'localhost':49837
- 'localhost':49841
- 'localhost':49844
- 'localhost':49846
- 'localhost':49849
- 'localhost':49853
- 'localhost':49860
- 'localhost':49862
- 'localhost':49863
UDP
- DNS ASK ma##r.info
Другое
Запускает на исполнение
- '<SYSTEM32>\svchost.exe' (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Remove-MpPreference -ExclusionPath %WINDIR%\Temp\ (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath %WINDIR%\Temp\ (со скрытым окном)
