Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefox default browser agent 8ad04fcd421d425d
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -inputformat none -outputformat none -NonInteractive -Command Set-MpPreference -DisableRealtimeMonitoring $true -SubmitSamplesConsent NeverSend -MAPSReporting Disable
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /f /im chrome.exe
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- 620685c5d67be_fri155adc5a3f.exe
- 620685ab4ee59_fri154453e1577.exe
Читает файлы, отвечающие за хранение паролей сторонними программами
- %APPDATA%\mozilla\firefox\profiles.ini
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\7zs025db25d\620685aa48e40_fri15ef04945.exe
- %TEMP%\7zs025db25d\620685ab4ee59_fri154453e1577.exe
- %TEMP%\7zs025db25d\620685ac0fab9_fri15ac779ba.exe
- %TEMP%\7zs025db25d\620685b1851ac_fri153267db2a.exe
- %TEMP%\7zs025db25d\620685b44398b_fri15ecff179f2.exe
- %TEMP%\7zs025db25d\620685b573e39_fri15167794d188.exe
- %TEMP%\7zs025db25d\620685b99aa29_fri1562b08e703.exe
- %TEMP%\7zs025db25d\620685bb9bcf8_fri15ac1f48289b.exe
- %TEMP%\7zs025db25d\620685bbe7eec_fri15f29ea2f.exe
- %TEMP%\7zs025db25d\620685c3af706_fri15342f45880d.exe
- %TEMP%\7zs025db25d\620685c5d67be_fri155adc5a3f.exe
- %TEMP%\7zs025db25d\620685c63d3b5_fri159fc8e9.exe
- %TEMP%\7zs025db25d\620685c739faf_fri154aaff29.exe
- %TEMP%\7zs025db25d\libcurl.dll
- %TEMP%\7zs025db25d\libcurlpp.dll
- %TEMP%\7zs025db25d\libgcc_s_dw2-1.dll
- %TEMP%\7zs025db25d\libstdc++-6.dll
- %TEMP%\7zs025db25d\libwinpthread-1.dll
- %TEMP%\7zs025db25d\setup_install.exe
- %TEMP%\is-uf77f.tmp\620685c739faf_fri154aaff29.tmp
- %TEMP%\7zipsfx.000\fresco.mpg
- %TEMP%\7zipsfx.000\poi.mpg
- %TEMP%\7zipsfx.000\strette.mpg
- %TEMP%\is-1uf1u.tmp\620685b1851ac_fri153267db2a.tmp
- %TEMP%\dijkqxx6.cpl
- %TEMP%\is-ca1bh.tmp\_isetup\_setup64.tmp
- %TEMP%\is-ca1bh.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-ca1bh.tmp\idp.dll
- %TEMP%\11111.exe
- %TEMP%\is-033ta.tmp\_isetup\_setup64.tmp
- %TEMP%\is-033ta.tmp\idp.dll
- %TEMP%\bhvb4f8.tmp
- %TEMP%\is-ir8r9.tmp\620685b1851ac_fri153267db2a.tmp
- %LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\620685ab4ee59_fri154453e1577.exe.log
- %TEMP%\fj4ghga23_fsa.txt
- %TEMP%\is-83389.tmp\_isetup\_setup64.tmp
- %TEMP%\is-83389.tmp\idp.dll
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\jfhgpjbcoignfibliobpclhpfnadhofn\10.59.13_0\background.html
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\jfhgpjbcoignfibliobpclhpfnadhofn\10.59.13_0\icon.png
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\jfhgpjbcoignfibliobpclhpfnadhofn\10.59.13_0\js\aes.js
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\jfhgpjbcoignfibliobpclhpfnadhofn\10.59.13_0\js\background.js
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\jfhgpjbcoignfibliobpclhpfnadhofn\10.59.13_0\js\content.js
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\jfhgpjbcoignfibliobpclhpfnadhofn\10.59.13_0\js\jquery-3.3.1.min.js
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\jfhgpjbcoignfibliobpclhpfnadhofn\10.59.13_0\js\mode-ecb.js
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\jfhgpjbcoignfibliobpclhpfnadhofn\10.59.13_0\js\pad-nopadding.js
- %LOCALAPPDATA%\google\chrome\user data\default\extensions\jfhgpjbcoignfibliobpclhpfnadhofn\10.59.13_0\manifest.json
- %TEMP%\922765.dat
- %TEMP%\922875.dat
- %TEMP%\922890.dat
- %TEMP%\cookies.sqlite
- %TEMP%\cookies.sqlite-shm
- %APPDATA%\dvgrubt
- %TEMP%\7zipsfx.000\mazzo.exe.pif
- %TEMP%\7zipsfx.000\i
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\dvgrubt
Удаляет файлы, которые сам же создал
- %TEMP%\7zs025db25d\620685aa48e40_fri15ef04945.exe
- %TEMP%\is-033ta.tmp\idp.dll
- %TEMP%\is-033ta.tmp\_isetup\_setup64.tmp
- %TEMP%\is-ca1bh.tmp\idp.dll
- %TEMP%\is-ca1bh.tmp\_isetup\_setup64.tmp
- %TEMP%\is-ca1bh.tmp\_isetup\_shfoldr.dll
- %TEMP%\is-1uf1u.tmp\620685b1851ac_fri153267db2a.tmp
- %TEMP%\is-uf77f.tmp\620685c739faf_fri154aaff29.tmp
- %TEMP%\bhvb4f8.tmp
- %TEMP%\11111.exe
- %TEMP%\fj4ghga23_fsa.txt
- %TEMP%\922875.dat
- %TEMP%\cookies.sqlite-shm
- %TEMP%\cookies.sqlite
- %TEMP%\7zs025db25d\620685b573e39_fri15167794d188.exe
- %TEMP%\7zipsfx.000\i
Изменяет следующие файлы
- %LOCALAPPDATA%\microsoft\vault\userprofileroaming\latest.dat
- %LOCALAPPDATA%\google\chrome\user data\default\secure preferences
Сетевая активность
Подключается к
- 'ip##pi.com':80
- 'ic##eps.com':443
- 'te#######i.s3.pl-waw.scw.cloud':80
- 'ip###ger.org':443
- 'yo#########gikuni.s3.pl-waw.scw.cloud':80
- '19#.#32.210.172':80
- 'v.###gamev.com':443
- 'x1.#.lencr.org':80
- 'r1#.#.lencr.org':80
- '92.##5.57.154':11841
- 'do###buster.at':80
- 'ap###bstat.biz':80
TCP
Запросы HTTP GET
- http://ip##pi.com/json/
- http://yo#########gikuni.s3.pl-waw.scw.cloud/adv-services/poweroff.exe
- http://r1#.#.lencr.org/72.crl
- http://ap###bstat.biz/connection
Запросы HTTP POST
- http://do###buster.at/upload/
Другие
- 'ic##eps.com':443
- 'ip###ger.org':443
- 'v.###gamev.com':443
UDP
- DNS ASK ip##pi.com
- DNS ASK ic##eps.com
- DNS ASK te#######i.s3.pl-waw.scw.cloud
- DNS ASK ip###ger.org
- DNS ASK yo#########gikuni.s3.pl-waw.scw.cloud
- DNS ASK pr###theme.me
- DNS ASK v.###gamev.com
- DNS ASK x1.#.lencr.org
- DNS ASK r1#.#.lencr.org
- DNS ASK hh###w33.com
- DNS ASK us##hit.com
- DNS ASK do###buster.at
- DNS ASK ML######AdTuP.MLVWNAGdAdTuP
- DNS ASK ap###bstat.biz
Другое
Ищет следующие окна
- ClassName: 'ConsoleWindowClass' WindowName: ''
- ClassName: 'EDIT' WindowName: ''
- ClassName: 'MS_WINHELP' WindowName: ''
- ClassName: '' WindowName: ''
- ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Google\Chrome\User Data'
Создает и запускает на исполнение
- '%TEMP%\7zs025db25d\setup_install.exe'
- '%TEMP%\7zs025db25d\620685ac0fab9_fri15ac779ba.exe'
- '%TEMP%\7zs025db25d\620685ab4ee59_fri154453e1577.exe'
- '%TEMP%\7zs025db25d\620685aa48e40_fri15ef04945.exe'
- '%TEMP%\7zs025db25d\620685b99aa29_fri1562b08e703.exe'
- '%TEMP%\7zs025db25d\620685c63d3b5_fri159fc8e9.exe'
- '%TEMP%\7zs025db25d\620685bb9bcf8_fri15ac1f48289b.exe'
- '%TEMP%\7zs025db25d\620685c3af706_fri15342f45880d.exe'
- '%TEMP%\7zs025db25d\620685b573e39_fri15167794d188.exe'
- '%TEMP%\7zs025db25d\620685bbe7eec_fri15f29ea2f.exe'
- '%TEMP%\7zs025db25d\620685b44398b_fri15ecff179f2.exe' /mixtwo
- '%TEMP%\7zs025db25d\620685c5d67be_fri155adc5a3f.exe'
- '%TEMP%\7zs025db25d\620685c739faf_fri154aaff29.exe'
- '%TEMP%\7zs025db25d\620685b1851ac_fri153267db2a.exe'
- '%TEMP%\is-uf77f.tmp\620685c739faf_fri154aaff29.tmp' /SL5="$B0046,140559,56832,%TEMP%\7zS025DB25D\620685c739faf_Fri154aaff29.exe"
- '%TEMP%\is-1uf1u.tmp\620685b1851ac_fri153267db2a.tmp' /SL5="$C0288,870458,780800,%TEMP%\7zS025DB25D\620685b1851ac_Fri153267db2a.exe"
- '%TEMP%\7zs025db25d\620685ac0fab9_fri15ac779ba.exe' -a
- '%TEMP%\11111.exe' /stab %TEMP%\fj4ghga23_fsa.txt
- '%TEMP%\7zs025db25d\620685b1851ac_fri153267db2a.exe' /SILENT
- '%TEMP%\is-ir8r9.tmp\620685b1851ac_fri153267db2a.tmp' /SL5="$1A006A,870458,780800,%TEMP%\7zS025DB25D\620685b1851ac_Fri153267db2a.exe" /SILENT
- '%TEMP%\7zipsfx.000\mazzo.exe.pif' i
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c powershell -inputformat none -outputformat none -NonInteractive -Command Set-MpPreference -DisableRealtimeMonitoring $true -SubmitSamplesConsent NeverSend -MAPSReporting Disable
- '%WINDIR%\syswow64\cmd.exe' /c 620685aa48e40_Fri15ef04945.exe
- '%WINDIR%\syswow64\cmd.exe' /c 620685ab4ee59_Fri154453e1577.exe
- '%WINDIR%\syswow64\cmd.exe' /c 620685ac0fab9_Fri15ac779ba.exe
- '%WINDIR%\syswow64\cmd.exe' /c 620685b1851ac_Fri153267db2a.exe
- '%WINDIR%\syswow64\cmd.exe' /c 620685b44398b_Fri15ecff179f2.exe /mixtwo
- '%WINDIR%\syswow64\cmd.exe' /c 620685b573e39_Fri15167794d188.exe
- '%WINDIR%\syswow64\cmd.exe' /c 620685b99aa29_Fri1562b08e703.exe
- '%WINDIR%\syswow64\cmd.exe' /c 620685bb9bcf8_Fri15ac1f48289b.exe
- '%WINDIR%\syswow64\cmd.exe' /c 620685bbe7eec_Fri15f29ea2f.exe
- '%WINDIR%\syswow64\cmd.exe' /c 620685c3af706_Fri15342f45880d.exe
- '%WINDIR%\syswow64\cmd.exe' /c 620685c5d67be_Fri155adc5a3f.exe
- '%WINDIR%\syswow64\cmd.exe' /c 620685c63d3b5_Fri159fc8e9.exe
- '%WINDIR%\syswow64\cmd.exe' /c 620685c739faf_Fri154aaff29.exe
- '%WINDIR%\syswow64\expand.exe' (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c cmd < Strette.mpg (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /f /im chrome.exe (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe'
- '%WINDIR%\syswow64\control.exe' "%TEMP%\DIJKqXx6.cPL",
- '%WINDIR%\syswow64\tasklist.exe' /FI "imagename eq BullGuardCore.exe"
- '%WINDIR%\syswow64\rundll32.exe' Shell32.dll,Control_RunDLL "%TEMP%\DIJKqXx6.cPL",
- '%WINDIR%\syswow64\find.exe' /I /N "bullguardcore.exe"
- '%WINDIR%\syswow64\tasklist.exe' /FI "imagename eq PSUAService.exe"
- '%WINDIR%\syswow64\find.exe' /I /N "psuaservice.exe"
- '%WINDIR%\syswow64\findstr.exe' /V /R "^IldrbdHDKAQZELToUSLMIUpYwjoMIXYXoYOffdKnhVoZCAmoctLXZBFNwawloVUMBTQGWESDojmMMlcBMZdEjqYHawhXfmdswv$" Poi.mpg
- '%WINDIR%\syswow64\waitfor.exe' /t 5 lVhDVCvXhQqkDhFYQPNjUworo
- '%TEMP%\11111.exe' /stab %TEMP%\fj4ghga23_fsa.txt (со скрытым окном)
