Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\vally3dka] 'Start' = '00000001'
- [HKLM\SYSTEM\CurrentControlSet\Services\vally3dka] 'ImagePath' = '%TEMP%\vally3dka.sys'
- [HKLM\SYSTEM\CurrentControlSet\Services\vally3dka] 'ImagePath' = '%WINDIR%\TEMP\vally3dka.sys'
- [HKLM\SYSTEM\CurrentControlSet\Services\MicrosoftSoftware2ShadowCop4yProvider] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\MicrosoftSoftware2ShadowCop4yProvider] 'ImagePath' = 'regsvr32.exe /S "%ALLUSERSPROFILE%\Roning\goldendays.dll'
- [HKLM\SYSTEM\CurrentControlSet\Services\vmservice] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\vmservice] 'ImagePath' = '%TEMP%\vmservice.sys'
- [HKLM\SYSTEM\CurrentControlSet\Services\MiniFilterDrv] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\MiniFilterDrv] 'ImagePath' = '%TEMP%\MiniFilterDrv'
Создает следующие сервисы
- 'vally3dka' %TEMP%\\vally3dka.sys
- 'vally3dka' %TEMP%\vally3dka.sys
- 'vally3dka' %WINDIR%\TEMP\\vally3dka.sys
- 'vally3dka' %WINDIR%\TEMP\vally3dka.sys
- 'MicrosoftSoftware2ShadowCop4yProvider' regsvr32.exe /S "%ALLUSERSPROFILE%\Roning\goldendays.dll
- 'vmservice' %TEMP%\vmservice.sys
- 'MiniFilterDrv' %TEMP%\MiniFilterDrv
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\svchost.exe
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\regsvr32.exe
Регистрирует фильтр файловой системы
- [HKLM\SYSTEM\CurrentControlSet\Services\MiniFilterDrv] 'Group' = 'FSFilter Activity Monitor'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsw3fb5.tmp
- %TEMP%\nsw3fb6.tmp\system.dll
- %TEMP%\nsw3fb6.tmp\nsis_tauri_utils.dll
- %ProgramFiles%\cronsnuplprau\rgyl1adq\i22kpl\l124bn.v5
- %ProgramFiles%\cronsnuplprau\rgyl1adq\i22kpl\windowscamera.dll
- %ProgramFiles%\cronsnuplprau\rgyl1adq\i22kpl\97tybhec.exe
- %TEMP%\vally3dka.sys
- %WINDIR%\zam.krnl.trace
- C:\users\public\downloads\20260111012328\hjk.txt
- %WINDIR%\temp\vally3dka.sys
- C:\users\public\downloads\20260111012328\1.bat
- C:\users\public\downloads\20260111012328\fhq.bat
- C:\users\public\downloads\20260111012328\agg.txt
- %ALLUSERSPROFILE%\roning\enpug.bin
- %ALLUSERSPROFILE%\roning\goldendays.dll
- %ALLUSERSPROFILE%\roning\trustinstaller.bin
- %WINDIR%\lknwinxpva.bat
- %ALLUSERSPROFILE%\diamondage\diamondage.dll
- %ALLUSERSPROFILE%\diamondage\diamondage.exe
- %TEMP%\vmservice.sys
- nul
- %TEMP%\minifilterdrv
- C:\users\public\downloads\20260111012328\kill.txt
- C:\users\public\downloads\20260111012328\1.dll
- <SYSTEM32>\codeintegrity\cipolicies\active\{31351756-3f24-4963-8380-4e7602335aae}.cip
- %ALLUSERSPROFILE%\microsoft\windows\start menu\programs\steelcheck worldwide.lnk
Удаляет файлы, которые сам же создал
- %TEMP%\vally3dka.sys
- %TEMP%\nsw3fb6.tmp\nsis_tauri_utils.dll
- %TEMP%\nsw3fb6.tmp\system.dll
Сетевая активность
Подключается к
- 'localhost':49695
- 'ba##u.com':80
- '20#.#5.11.173':5552
TCP
Запросы HTTP GET
- http://www.ba##u.com/
Другие
- 'localhost':49695
- 'localhost':49696
UDP
- DNS ASK ba##u.com
Другое
Создает и запускает на исполнение
- '%ProgramFiles%\cronsnuplprau\rgyl1adq\i22kpl\97tybhec.exe'
- '%ALLUSERSPROFILE%\diamondage\diamondage.exe'
Запускает на исполнение
- '<SYSTEM32>\regsvr32.exe' /S "%ALLUSERSPROFILE%\Roning\goldendays.dll
- '<SYSTEM32>\cmd.exe' /C ""%WINDIR%\lknwInxpVA.bat"" (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /fi "PID eq 0"
- '<SYSTEM32>\findstr.exe' /i "0"
- '<SYSTEM32>\timeout.exe' /t 10
