Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\RuntimeBroker.exe] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\RuntimeBroker.exe] 'ImagePath' = '%ALLUSERSPROFILE%\RuntimeBroker.exe'
Создает следующие сервисы
- 'RuntimeBroker.exe' %ALLUSERSPROFILE%\RuntimeBroker.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%'"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe
- <SYSTEM32>\dllhost.exe
следующие пользовательские процессы:
- setup_wm.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\SOFTWARE\FTPWare\CoreFTP\Sites]
- [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook]
- [HKCU\Software\SimonTatham\PuTTY\Sessions]
- [HKCU\Software\Wow6432Node\SimonTatham\PuTTY\Sessions]
- [HKCU\Software\RIT\The Bat!]
- [HKLM\SOFTWARE\Wow6432Node\Ghisler\Total Commander]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\issi2013_template_for_posters.docx
- %HOMEPATH%\desktop\sdszfo.docx
Ищет следующие окна с целью
обнаружения виртуальных машин:
- ClassName: 'VBoxTrayToolWndClass', WindowName: ''
- ClassName: '', WindowName: 'VBoxTrayToolWnd'
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\a-jd26.exe
- %ALLUSERSPROFILE%\windriver.exe
- %ALLUSERSPROFILE%\runtimebroker.exe
Сетевая активность
Подключается к
- '14#.#35.130.51':8434
- '95.##4.123.133':443
TCP
Другие
- '14#.#35.130.51':8434
- '95.##4.123.133':443
UDP
- DNS ASK po##.ntp.org
- DNS ASK nt##.hetzner.de
- DNS ASK ti##.apple.com
- DNS ASK nt##.##t.berkeley.edu
- DNS ASK nt#.nict.jp
- DNS ASK gb##.ntp.se
- DNS ASK x.##.#in.ntt.net
- DNS ASK ti##.#loudflare.com
- 'nt##.##t.berkeley.edu':123
- 'x.##.#in.ntt.net':123
- 'po##.ntp.org':123
- 'ti##.#loudflare.com':123
- 'ti##.apple.com':123
- 'gb##.ntp.se':123
- 'nt##.hetzner.de':123
- 'nt#.nict.jp':123
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: 'TeamViewer'
Создает и запускает на исполнение
- '%LOCALAPPDATA%\microsoft\a-jd26.exe'
- '%ALLUSERSPROFILE%\windriver.exe'
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework\v4.0.30319\msbuild.exe'
- '<SYSTEM32>\dllhost.exe'
- '%ProgramFiles%\windows media player\setup_wm.exe'
- '<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
- '<SYSTEM32>\sc.exe' delete "RuntimeBroker.exe"
- '<SYSTEM32>\sc.exe' create "RuntimeBroker.exe" binpath= "%ALLUSERSPROFILE%\RuntimeBroker.exe" start= "auto"
- '<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
- '<SYSTEM32>\cmd.exe' /c choice /C Y /N /D Y /T 3 & Del "%ALLUSERSPROFILE%\WinDriver.exe"
- '<SYSTEM32>\choice.exe' /C Y /N /D Y /T 3
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%'" (со скрытым окном)
