Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\llama] 'Start' = '00000001'
- [HKLM\SYSTEM\CurrentControlSet\Services\llama] 'ImagePath' = '%TEMP%\llama.sys'
- [HKLM\SYSTEM\CurrentControlSet\Services\llama] 'ImagePath' = '%WINDIR%\TEMP\llama.sys'
- [HKLM\SYSTEM\CurrentControlSet\Services\MicrosoftSoftware2ShadowCop4yProvider] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\MicrosoftSoftware2ShadowCop4yProvider] 'ImagePath' = 'regsvr32.exe /S "%ALLUSERSPROFILE%\Roning\goldendays.dll'
Создает следующие сервисы
- 'llama' %TEMP%\\llama.sys
- 'llama' %TEMP%\llama.sys
- 'llama' %WINDIR%\TEMP\\llama.sys
- 'llama' %WINDIR%\TEMP\llama.sys
- 'MicrosoftSoftware2ShadowCop4yProvider' regsvr32.exe /S "%ALLUSERSPROFILE%\Roning\goldendays.dll
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\regsvr32.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-ijn5o.tmp\<Имя файла>.tmp
- %TEMP%\is-1vofc.tmp\_isetup\_setup64.tmp
- %ProgramFiles%\cautrswesion\is-7ddkp.tmp
- %ProgramFiles%\cautrswesion\nnqbpz9t\f1xcfl\is-kk8o2.tmp
- %ProgramFiles%\cautrswesion\nnqbpz9t\f1xcfl\is-ejehn.tmp
- %ProgramFiles%\cautrswesion\nnqbpz9t\f1xcfl\is-3hb09.tmp
- %ProgramFiles%\cautrswesion\unins000.dat
- %TEMP%\llama.sys
- C:\users\public\downloads\20251105112823\hjk.txt
- %WINDIR%\temp\llama.sys
- C:\users\public\downloads\20251105112823\1.bat
- C:\users\public\downloads\20251105112823\fhq.bat
- C:\users\public\downloads\20251105112823\agg.txt
- %ALLUSERSPROFILE%\roning\enpug.bin
- %ALLUSERSPROFILE%\roning\goldendays.dll
- %ALLUSERSPROFILE%\roning\trustinstaller.bin
- %WINDIR%\sydqrmwbat.bat
- C:\users\public\downloads\20251105112823\kill.txt
- C:\users\public\downloads\20251105112823\1.dll
- <SYSTEM32>\wow64log.dll
- nul
- <SYSTEM32>\codeintegrity\cipolicies\active\{31351756-3f24-4963-8380-4e7602335aae}.cip
- %ProgramFiles%\cautrswesion\is-t6ugb.tmp
- %ProgramFiles%\cautrswesion\nnqbpz9t\f1xcfl\is-j324s.tmp
- %ProgramFiles%\cautrswesion\nnqbpz9t\f1xcfl\is-mc70r.tmp
- %ProgramFiles%\cautrswesion\nnqbpz9t\f1xcfl\is-g64mv.tmp
Удаляет файлы, которые сам же создал
- %TEMP%\llama.sys
- %ProgramFiles%\cautrswesion\nnqbpz9t\f1xcfl\8nbela.exe
- %ProgramFiles%\cautrswesion\nnqbpz9t\f1xcfl\libcef.dll
- %ProgramFiles%\cautrswesion\nnqbpz9t\f1xcfl\ctn2v2.qr
- %TEMP%\is-1vofc.tmp\_isetup\_setup64.tmp
- %TEMP%\is-ijn5o.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- %ProgramFiles%\cautrswesion\is-7ddkp.tmp в %ProgramFiles%\cautrswesion\unins000.exe
- %ProgramFiles%\cautrswesion\nnqbpz9t\f1xcfl\is-kk8o2.tmp в %ProgramFiles%\cautrswesion\nnqbpz9t\f1xcfl\8nbela.exe
- %ProgramFiles%\cautrswesion\nnqbpz9t\f1xcfl\is-ejehn.tmp в %ProgramFiles%\cautrswesion\nnqbpz9t\f1xcfl\libcef.dll
- %ProgramFiles%\cautrswesion\nnqbpz9t\f1xcfl\is-3hb09.tmp в %ProgramFiles%\cautrswesion\nnqbpz9t\f1xcfl\ctn2v2.qr
- %ProgramFiles%\cautrswesion\is-t6ugb.tmp в %ProgramFiles%\cautrswesion\unins000.exe
Подменяет следующие файлы
- %ProgramFiles%\cautrswesion\nnqbpz9t\f1xcfl\8nbela.exe
- %ProgramFiles%\cautrswesion\nnqbpz9t\f1xcfl\libcef.dll
- %ProgramFiles%\cautrswesion\nnqbpz9t\f1xcfl\ctn2v2.qr
Сетевая активность
Подключается к
- 'localhost':49694
- 'ba##u.com':80
- 'mo#####.map.fastly.net':443
- 'localhost':49699
TCP
Запросы HTTP GET
- http://www.ba##u.com/
Другие
- 'localhost':49694
- 'localhost':49695
- 'localhost':49699
- 'localhost':49700
UDP
- DNS ASK ba##u.com
- DNS ASK mo#####.map.fastly.net
- DNS ASK co##############e-chains.prod.autograph.services.mozaws.net
Другое
Создает и запускает на исполнение
- '%TEMP%\is-ijn5o.tmp\<Имя файла>.tmp' /SL5="$7027A,2271990,829440,<Полный путь к файлу>"
- '%ProgramFiles%\cautrswesion\nnqbpz9t\f1xcfl\8nbela.exe'
Запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /S "%ALLUSERSPROFILE%\Roning\goldendays.dll
- '<SYSTEM32>\cmd.exe' /C ""%WINDIR%\sYDQrmwBat.bat"" (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /fi "PID eq 0"
- '<SYSTEM32>\findstr.exe' /i "0"
- '<SYSTEM32>\timeout.exe' /t 10
- '%ProgramFiles%\cautrswesion\nnqbpz9t\f1xcfl\8nbela.exe' (со скрытым окном)
