Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\CDPUserSvc_Lcidn] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\CDPUserSvc_Lcidn] 'ImagePath' = '"%ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\a2guard.exe" -k UnistackSvcGroup'
Создает следующие сервисы
- 'CDPUserSvc_Lcidn' %ALLUSERSPROFILE%53eb346_9bce_413f_9ca4_5ff71a8d4aa62guard.exe" -k UnistackSvcGrou
Вредоносные функции
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'OLLYDBG', WindowName: ''
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-9vcg0rfs2a.tmp\<Имя файла>.tmp
- %TEMP%\is-z4ufohmr00.tmp\_isetup\_setup64.tmp
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\is-yowyvl6p23.tmp
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\is-hnyvgaswev.tmp
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\is-bzxdc940g0.tmp
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\is-17x0w7ad2x.tmp
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\is-y9gmefsq4z.tmp
- %TEMP%\is-z4ufohmr00.tmp\is-fy1zo9vcjh.tmp
- %TEMP%\is-z4ufohmr00.tmp\is-yeiacmgzta.tmp
- %APPDATA%\04f8996da763b7a9.dat
- %WINDIR%\temp\content\3176-1420-svchost.exe-15-40-46-492.dump
Присваивает атрибут 'скрытый' для следующих файлов
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\a2guard.exe
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\log.dll
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\mgnderfpxnxmymlc.rqztobks
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\rbtlqwpvcnug.dwfyih
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\sciter.dll
Удаляет файлы, которые сам же создал
- %TEMP%\is-z4ufohmr00.tmp\nvij.4hq
- %TEMP%\is-z4ufohmr00.tmp\wkgov.frk
- %TEMP%\is-z4ufohmr00.tmp\_isetup\_setup64.tmp
- %TEMP%\is-9vcg0rfs2a.tmp\<Имя файла>.tmp
- %APPDATA%\04f8996da763b7a9.dat
Перемещает следующие файлы
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\is-yowyvl6p23.tmp в %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\a2guard.exe
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\is-hnyvgaswev.tmp в %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\sciter.dll
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\is-bzxdc940g0.tmp в %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\log.dll
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\is-17x0w7ad2x.tmp в %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\rbtlqwpvcnug.dwfyih
- %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\is-y9gmefsq4z.tmp в %ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\mgnderfpxnxmymlc.rqztobks
- %TEMP%\is-z4ufohmr00.tmp\is-fy1zo9vcjh.tmp в %TEMP%\is-z4ufohmr00.tmp\nvij.4hq
- %TEMP%\is-z4ufohmr00.tmp\is-yeiacmgzta.tmp в %TEMP%\is-z4ufohmr00.tmp\wkgov.frk
Сетевая активность
Подключается к
- '13#.#20.135.210':33265
- '13#.#20.135.210':442
TCP
Другие
- '15#.#01.1.91':443
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: 'WinDbgFrameClass' WindowName: ''
- ClassName: 'SunAwtFrame' WindowName: ''
- ClassName: 'IMDBG_CLASS' WindowName: ''
- ClassName: 'HxD' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-9vcg0rfs2a.tmp\<Имя файла>.tmp' /SL5="$F01C2,7323447,834048,<Полный путь к файлу>"
- '%ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\a2guard.exe' -k unistackgroup
- '%ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\a2guard.exe' -k UnistackSvcGroup
- '%ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\a2guard.exe' /safeinit
Запускает на исполнение
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s EntAppSvc
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s WalletService
- '%ALLUSERSPROFILE%\a53eb346_9bce_413f_9ca4_5ff71a8d4aa6\a2guard.exe' -k unistackgroup (со скрытым окном)
