Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\microsoft\windows\isreadonly\url
- <SYSTEM32>\tasks\microsoft\windows\lowestbreakiteration\maxcharcount
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework64\v4.0.30319\aspnet_compiler.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\msbuild.exe
следующие пользовательские процессы:
- immtz.exe
- url.exe
- maxcharcount.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\content\2164-4484-<Имя файла>.exe-16-21-17-297.dump
- %TEMP%\content\2164-4484-<Имя файла>.exe-16-21-20-162.dump
- %TEMP%\content\2164-4484-<Имя файла>.exe-16-21-21-370.dump
- %TEMP%\content\2164-4484-<Имя файла>.exe-16-21-21-604.dump
- %TEMP%\ljlzmajqjr.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- %TEMP%\content\4776-3772-ljlzmajqjr.exe-16-21-26-501.dump
- %TEMP%\content\4776-3772-ljlzmajqjr.exe-16-21-26-760.dump
- %TEMP%\content\5104-1260-<Имя файла>.exe-16-21-26-812.dump
- %TEMP%\content\4776-3772-ljlzmajqjr.exe-16-21-27-280.dump
- %TEMP%\content\4776-3772-ljlzmajqjr.exe-16-21-27-681.dump
- %TEMP%\content\5104-1260-<Имя файла>.exe-16-21-28-404.dump
- %TEMP%\immtz.exe
- %TEMP%\content\5104-1260-<Имя файла>.exe-16-21-28-490.dump
- %TEMP%\content\5104-1260-<Имя файла>.exe-16-21-28-529.dump
- %TEMP%\content\5104-1260-<Имя файла>.exe-16-21-30-962.dump
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\ljlzmajqjr.exe.log
- %TEMP%\content\1476-2920-immtz.exe-16-21-33-356.dump
- %TEMP%\content\1476-2920-immtz.exe-16-21-33-579.dump
- %TEMP%\content\1476-2920-immtz.exe-16-21-33-852.dump
- %TEMP%\content\1476-2920-immtz.exe-16-21-34-008.dump
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\immtz.exe.log
- %TEMP%\content\2832-2612-immtz.exe-16-21-36-715.dump
- %TEMP%\content\2832-2612-immtz.exe-16-21-38-714.dump
- %TEMP%\content\2832-2612-immtz.exe-16-21-38-831.dump
- %TEMP%\content\2832-2612-immtz.exe-16-21-38-853.dump
- %APPDATA%\isreadonly\url.exe
- %TEMP%\content\2832-2612-immtz.exe-16-22-00-416.dump
- %TEMP%\content\1600-2324-url.exe-16-22-03-212.dump
- %TEMP%\content\1600-2324-url.exe-16-22-03-918.dump
- %TEMP%\content\1600-2324-url.exe-16-22-05-298.dump
- %TEMP%\content\1600-2324-url.exe-16-22-05-939.dump
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\url.exe.log
- %TEMP%\content\4476-3004-url.exe-16-22-09-198.dump
- %TEMP%\content\4476-3004-url.exe-16-22-10-594.dump
- %TEMP%\content\4476-3004-url.exe-16-22-10-732.dump
- %TEMP%\content\4476-3004-url.exe-16-22-10-757.dump
- %TEMP%\content\4476-3004-url.exe-16-22-11-949.dump
- %LOCALAPPDATA%\lowestbreakiteration\ewsvsk\maxcharcount.exe
- %TEMP%\content\976-1176-aspnet_compiler.exe-16-22-31-691.dump
- %TEMP%\content\976-1176-aspnet_compiler.exe-16-22-31-904.dump
- %TEMP%\content\976-1176-aspnet_compiler.exe-16-22-32-237.dump
- %TEMP%\content\976-1176-aspnet_compiler.exe-16-22-32-356.dump
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\aspnet_compiler.exe.log
- %TEMP%\content\776-2948-aspnet_compiler.exe-16-22-33-932.dump
- %TEMP%\content\776-2948-aspnet_compiler.exe-16-22-34-825.dump
- %TEMP%\content\776-2948-aspnet_compiler.exe-16-22-34-878.dump
- %TEMP%\content\776-2948-aspnet_compiler.exe-16-22-34-894.dump
- %TEMP%\content\2072-1612-maxcharcount.exe-16-22-42-684.dump
- %TEMP%\content\2072-1612-maxcharcount.exe-16-22-42-747.dump
- %TEMP%\content\2072-1612-maxcharcount.exe-16-22-42-831.dump
- %TEMP%\content\2072-1612-maxcharcount.exe-16-22-42-916.dump
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\maxcharcount.exe.log
- %TEMP%\content\1732-1684-maxcharcount.exe-16-22-44-085.dump
- %TEMP%\content\1732-1684-maxcharcount.exe-16-22-46-184.dump
- %TEMP%\content\1732-1684-maxcharcount.exe-16-22-46-314.dump
- %TEMP%\content\1732-1684-maxcharcount.exe-16-22-46-352.dump
- %TEMP%\content\1732-1684-maxcharcount.exe-16-22-56-712.dump
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\isreadonly\url.exe
Сетевая активность
UDP
- DNS ASK so#####erbpfmage.com
Другое
Создает и запускает на исполнение
- '%TEMP%\ljlzmajqjr.exe'
- '%TEMP%\immtz.exe'
- '%APPDATA%\isreadonly\url.exe'
- '%LOCALAPPDATA%\lowestbreakiteration\ewsvsk\maxcharcount.exe'
Перезапускает анализируемый образец
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\aspnet_compiler.exe'
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\msbuild.exe'
