Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\CDPUserSvc_Lcidn] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\CDPUserSvc_Lcidn] 'ImagePath' = '"%ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\a2guard.exe" -k UnistackSvcGroup'
Создает следующие сервисы
- 'CDPUserSvc_Lcidn' %ALLUSERSPROFILE%53eb346_9bce_413f_9ca4_5ff71a8d4aa62guard.exe" -k UnistackSvcGrou
Вредоносные функции
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\tmbb .exe
- %APPDATA%\iwqd .exe
- %APPDATA%\wy5ymrmosn.dll
- %APPDATA%\dlhtoazx8c.dll
- %APPDATA%\npoq4cwyc3.dll
- %APPDATA%\9ommtrx4zv.dll
- %APPDATA%\tqpulhuxb7.dll
- %APPDATA%\lxy3sfbs4q.dll
- %TEMP%\is-i5udimg03i.tmp\tmbb .tmp
- %TEMP%\nsla296.tmp\system.dll
- %TEMP%\nsla296.tmp\modern-header.bmp
- %TEMP%\nsla296.tmp\modern-wizard.bmp
- %TEMP%\nsla296.tmp\nsdialogs.dll
- %TEMP%\is-s5k49edk4s.tmp\_isetup\_setup64.tmp
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\is-pwq4p6hpym.tmp
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\is-53942p4drv.tmp
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\is-ryse6l3t53.tmp
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\is-tv2qakx4da.tmp
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\is-eykck6utey.tmp
- %TEMP%\is-s5k49edk4s.tmp\is-umhcvlfaq0.tmp
- %TEMP%\is-s5k49edk4s.tmp\is-dkw9d5dakn.tmp
- %APPDATA%\04f8996da763b7a9.dat
- %WINDIR%\temp\content\1256-3816-svchost.exe-18-51-22-260.dump
Присваивает атрибут 'скрытый' для следующих файлов
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\a2guard.exe
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\log.dll
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\mgnderfpxnxmymlc.rqztobks
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\rbtlqwpvcnug.dwfyih
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\sciter.dll
Удаляет файлы, которые сам же создал
- %TEMP%\is-s5k49edk4s.tmp\nvij.4hq
- %TEMP%\is-s5k49edk4s.tmp\wkgov.frk
- %TEMP%\is-s5k49edk4s.tmp\_isetup\_setup64.tmp
- %TEMP%\is-i5udimg03i.tmp\tmbb .tmp
- %APPDATA%\04f8996da763b7a9.dat
Перемещает следующие файлы
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\is-pwq4p6hpym.tmp в %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\a2guard.exe
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\is-53942p4drv.tmp в %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\sciter.dll
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\is-ryse6l3t53.tmp в %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\log.dll
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\is-tv2qakx4da.tmp в %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\rbtlqwpvcnug.dwfyih
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\is-eykck6utey.tmp в %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\mgnderfpxnxmymlc.rqztobks
- %TEMP%\is-s5k49edk4s.tmp\is-umhcvlfaq0.tmp в %TEMP%\is-s5k49edk4s.tmp\nvij.4hq
- %TEMP%\is-s5k49edk4s.tmp\is-dkw9d5dakn.tmp в %TEMP%\is-s5k49edk4s.tmp\wkgov.frk
Сетевая активность
Подключается к
- '13#.#20.135.210':33265
- '13#.#20.135.210':442
- '<DNS_SERVER>':53
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: 'WinDbgFrameClass' WindowName: ''
- ClassName: 'SunAwtFrame' WindowName: ''
- ClassName: 'IMDBG_CLASS' WindowName: ''
- ClassName: 'HxD' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\iwqd .exe'
- '%APPDATA%\tmbb .exe'
- '%TEMP%\is-i5udimg03i.tmp\tmbb .tmp' /SL5="$80270,7323447,834048,%APPDATA%\tMBB .exe"
- '%ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\a2guard.exe' -k unistackgroup
- '%ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\a2guard.exe' -k UnistackSvcGroup
- '%ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\a2guard.exe' /safeinit
Запускает на исполнение
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s EntAppSvc
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s WalletService
- '%APPDATA%\tmbb .exe' (со скрытым окном)
- '%ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\a2guard.exe' -k unistackgroup (со скрытым окном)
