Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\timeflow.lnk
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\at.exe'
Внедряет код в
следующие пользовательские процессы:
- regasm.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\.tmpzo04p4\progr1.7z
- %TEMP%\.tmpzo04p4\progr1.exe
- %TEMP%\.tmpzo04p4\progr2.7z
- %TEMP%\.tmpzo04p4\progr2.exe
- %TEMP%\ixp000.tmp\towns.vob
- %TEMP%\ixp000.tmp\pst.vob
- %TEMP%\ixp000.tmp\entitled.vob
- %TEMP%\ixp000.tmp\integer.vob
- %TEMP%\ixp000.tmp\procedures.vob
- %WINDIR%\syswow64\windowspowershell\v1.0\log.txt
- %TEMP%\ixp000.tmp\sensitivity
- %TEMP%\ixp000.tmp\campaign
- %TEMP%\ixp000.tmp\brief
- %TEMP%\ixp000.tmp\buying
- %TEMP%\ixp000.tmp\expensive
- %TEMP%\ixp000.tmp\women
- %TEMP%\ixp000.tmp\drilling
- %TEMP%\ixp000.tmp\dam
- %TEMP%\ixp000.tmp\undertaken
- %TEMP%\ixp000.tmp\irs
- %TEMP%\ixp000.tmp\garcia
- %TEMP%\ixp000.tmp\prescribed
- %TEMP%\ixp000.tmp\685876\listen.scr
- %TEMP%\ixp000.tmp\685876\y
- %LOCALAPPDATA%\chronometrics software co\r
- %LOCALAPPDATA%\chronometrics software co\timeflow.bat
- %LOCALAPPDATA%\chronometrics software co\timeflow.lnk
- %TEMP%\ixp000.tmp\685876\regasm.exe
- %APPDATA%\logs\11-05-2025
Удаляет файлы, которые сам же создал
- %TEMP%\.tmpzo04p4\progr1.7z
- %TEMP%\.tmpzo04p4\progr1.exe
- %TEMP%\ixp000.tmp\685876\y
- %TEMP%\ixp000.tmp\procedures.vob
- %TEMP%\ixp000.tmp\entitled.vob
- %TEMP%\ixp000.tmp\pst.vob
- %TEMP%\ixp000.tmp\towns.vob
- %TEMP%\ixp000.tmp\685876\listen.scr
- %TEMP%\ixp000.tmp\685876\regasm.exe
- %TEMP%\ixp000.tmp\brief
- %TEMP%\ixp000.tmp\buying
- %TEMP%\ixp000.tmp\campaign
- %TEMP%\ixp000.tmp\dam
- %TEMP%\ixp000.tmp\drilling
- %TEMP%\ixp000.tmp\expensive
- %TEMP%\ixp000.tmp\garcia
- %TEMP%\ixp000.tmp\integer.vob.bat
- %TEMP%\ixp000.tmp\irs
- %TEMP%\ixp000.tmp\prescribed
- %TEMP%\ixp000.tmp\sensitivity
- %TEMP%\ixp000.tmp\undertaken
- %TEMP%\ixp000.tmp\women
Перемещает следующие файлы
- %TEMP%\ixp000.tmp\integer.vob в %TEMP%\ixp000.tmp\integer.vob.bat
Сетевая активность
Подключается к
- '17#.#6.75.202':80
- 'ip##pi.com':80
- '20#.#66.251.57':4782
- 'mo#####.map.fastly.net':443
- 'co##############e-chains.prod.autograph.services.mozaws.net':443
TCP
Запросы HTTP GET
- /storage-6/progr2.7z via 17#.#6.75.202
- http://ip##pi.com/json/
Другие
- '20#.#66.251.57':4782
UDP
- DNS ASK ap##########oFmhVfnp.apiXDeehWJgDoFmhVfnp
- DNS ASK ip##pi.com
- DNS ASK mo#####.map.fastly.net
- DNS ASK co##############e-chains.prod.autograph.services.mozaws.net
Другое
Создает и запускает на исполнение
- '%TEMP%\.tmpzo04p4\progr1.exe'
- '%TEMP%\.tmpzo04p4\progr2.exe'
- '%TEMP%\ixp000.tmp\685876\listen.scr' y
- '%TEMP%\ixp000.tmp\685876\regasm.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c move Integer.vob Integer.vob.bat && Integer.vob.bat (со скрытым окном)
- '<SYSTEM32>\tasklist.exe'
- '<SYSTEM32>\findstr.exe' "bdservicehost ekrn AvastUI SophosHealth AVGUI nsWscSvc"
- '<SYSTEM32>\extrac32.exe' /Y Pst.vob *.*
- '<SYSTEM32>\findstr.exe' /V "CORRECTLY" Buying
- '<SYSTEM32>\waitfor.exe' /T 5 ZkvdrBbgItDlAEdTFX
- '<SYSTEM32>\at.exe' (со скрытым окном)
