Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'fcfd52bce7' = 'cmd.exe /c "%APPDATA%\Microsoft\708e2e2fe3f2\78533bc9b46fd8c8.bat"'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\rarsfx0\1.bat
- %TEMP%\rarsfx0\slip2.jpg
- %APPDATA%\microsoft\708e2e2fe3f2\78533bc9b46fd8c8.bat
- nul
- %TEMP%\oydj04x5\oydj04x5.0.cs
- %TEMP%\oydj04x5\oydj04x5.cmdline
- %TEMP%\oydj04x5\oydj04x5.out
- %TEMP%\oydj04x5\csccc420edb76c4a3d8ce19e9446e78b4.tmp
- %TEMP%\resa2f2.tmp
- %TEMP%\oydj04x5\oydj04x5.dll
Удаляет файлы, которые сам же создал
- %TEMP%\resa2f2.tmp
- %TEMP%\oydj04x5\csccc420edb76c4a3d8ce19e9446e78b4.tmp
- %TEMP%\oydj04x5\oydj04x5.cmdline
- %TEMP%\oydj04x5\oydj04x5.dll
- %TEMP%\oydj04x5\oydj04x5.0.cs
- %TEMP%\oydj04x5\oydj04x5.out
Сетевая активность
UDP
- DNS ASK RD######427.portmap.host
Другое
Ищет следующие окна
- ClassName: 'Edit' WindowName: ''
- ClassName: 'NarratorUIClass' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "Set-Content '%APPDATA%\Microsoft\708e2e2fe3f2\78533bc9b46fd8c8.bat' -Stream Zone.Identifier -Value ''"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "try { $content = Get-Content -LiteralPath '%TEMP%\RarSFX0\1.bat' -Raw -ErrorAction Stop; if ($content -match '::739160c1013a54df::([A-Za-z0-9+/=]+)'...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -File "%TEMP%\ps_931420ed.ps1"
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\RarSFX0\1.bat" "
- '<SYSTEM32>\cmd.exe' /K "%TEMP%\RarSFX0\1.bat"
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
- '<SYSTEM32>\attrib.exe' +h "%APPDATA%\Microsoft\708e2e2fe3f2"
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "fcfd52bce7" /t REG_SZ /d "cmd.exe /c \"%APPDATA%\Microsoft\708e2e2fe3f2\78533bc9b46fd8c8.bat\"" /f
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\oydj04x5\oydj04x5.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA2F2.tmp" "%TEMP%\oydj04x5\CSCCC420EDB76C4A3D8CE19E9446E78B4.TMP" (со скрытым окном)
Использует альтернативные потоки данных NTFS
