Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\RuntimeBroker.exe] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\RuntimeBroker.exe] 'ImagePath' = '%ALLUSERSPROFILE%\RuntimeBroker.exe'
Создает следующие сервисы
- 'RuntimeBroker.exe' %ALLUSERSPROFILE%\RuntimeBroker.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%'"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force
Внедряет код в
следующие системные процессы:
- %WINDIR%\syswow64\openwith.exe
- <SYSTEM32>\dllhost.exe
следующие пользовательские процессы:
- wmprph.exe
Ищет ветки реестра, отвечающие за хранение паролей сторонними программами
- [HKCU\SOFTWARE\FTPWare\CoreFTP\Sites]
- [HKCU\Software\Microsoft\Windows NT\CurrentVersion\Windows Messaging Subsystem\Profiles\Outlook]
- [HKCU\Software\SimonTatham\PuTTY\Sessions]
- [HKCU\Software\Wow6432Node\SimonTatham\PuTTY\Sessions]
- [HKCU\Software\RIT\The Bat!]
- [HKLM\SOFTWARE\Wow6432Node\Ghisler\Total Commander]
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\file_p_00000000_1371597592.docx
- %HOMEPATH%\desktop\thlps_keeper_mayer_1965.docx
Ищет следующие окна с целью
обнаружения виртуальных машин:
- ClassName: 'VBoxTrayToolWndClass', WindowName: ''
- ClassName: '', WindowName: 'VBoxTrayToolWnd'
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\lkt6ez8.exe
- %ALLUSERSPROFILE%\windriver.exe
- %ALLUSERSPROFILE%\runtimebroker.exe
Сетевая активность
Подключается к
- '95.##4.123.133':443
TCP
Другие
- '95.##4.123.133':443
UDP
- DNS ASK time.google.com
- DNS ASK nt#.time.nl
- DNS ASK ti##.#loudflare.com
- DNS ASK ti####-g.nist.gov
- DNS ASK po##.ntp.org
- DNS ASK ti##.#acebook.com
- DNS ASK nt#.#ime.in.ua
- 'ti##.#acebook.com':123
- 'nt#.time.nl':123
- 'ti####-g.nist.gov':123
- 'time.google.com':123
- 'po##.ntp.org':123
- 'ti##.#loudflare.com':123
- 'nt#.#ime.in.ua':123
- 'time.windows.com':123
Другое
Ищет следующие окна
- ClassName: '#32770' WindowName: 'TeamViewer'
Создает и запускает на исполнение
- '%LOCALAPPDATA%\microsoft\lkt6ez8.exe'
- '%ALLUSERSPROFILE%\windriver.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\openwith.exe'
- '<SYSTEM32>\dllhost.exe'
- '%ProgramFiles%\windows media player\wmprph.exe'
- '<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
- '<SYSTEM32>\sc.exe' delete "RuntimeBroker.exe"
- '<SYSTEM32>\sc.exe' create "RuntimeBroker.exe" binpath= "%ALLUSERSPROFILE%\RuntimeBroker.exe" start= "auto"
- '<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
- '<SYSTEM32>\cmd.exe' /c choice /C Y /N /D Y /T 3 & Del "%ALLUSERSPROFILE%\WinDriver.exe"
- '<SYSTEM32>\choice.exe' /C Y /N /D Y /T 3
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%'" (со скрытым окном)
