BackDoor.XWorm.464

Техническая информация

Для обеспечения автозапуска и распространения

Создает или изменяет следующие файлы

<SYSTEM32>\tasks\wininitserv

Заражает следующие исполняемые файлы

%ProgramFiles%\java\jre1.8.0_77\bin\keytool.exe
%ProgramFiles%\java\jre1.8.0_77\bin\ssvagent.exe
%ProgramFiles%\java\jre1.8.0_77\bin\unpack200.exe
%ProgramFiles%\microsoft office\office16\appsharinghookcontroller64.exe
%ProgramFiles%\microsoft office\office16\msohtmed.exe
%ProgramFiles%\mozilla firefox\minidump-analyzer.exe
%ProgramFiles%\mozilla thunderbird\pingsender.exe
%ProgramFiles%\mozilla thunderbird\plugin-hang-ui.exe
%ProgramFiles%\mozilla thunderbird\thunderbird.exe
%ProgramFiles%\mozilla thunderbird\rcxaa36.tmp

Вредоносные функции

Для затруднения выявления своего присутствия в системе

добавляет исключения антивируса:

'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -c Add-MpPreference -ExclusionProcess "%HOMEPATH%\Videos\Symbiote.exe"

Внедряет код в

следующие системные процессы:

%WINDIR%\explorer.exe

Изменения в файловой системе

Создает следующие файлы

%HOMEPATH%\videos\symbiote.exe
%HOMEPATH%\videos\pspinjector.dll
%HOMEPATH%\videos\pestub.dll
%HOMEPATH%\videos\phosphoric.dll
%WINDIR%\temp\__psscriptpolicytest_mp3o0cex.2z1.ps1
%WINDIR%\temp\__psscriptpolicytest_oheqrpwj.lvr.psm1
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-26-878.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-27-196.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-27-487.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-27-723.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-27-766.dump
%WINDIR%\temp\__psscriptpolicytest_1qsycxzh.isu.ps1
%WINDIR%\temp\__psscriptpolicytest_kdo320kf.w1q.psm1
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-28-006.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-28-047.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-28-173.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-28-304.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-28-523.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-28-778.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-29-077.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-29-131.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-29-178.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-29-253.dump
%ProgramFiles%\mozilla thunderbird\rcxaa36.tmp
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-29-300.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-29-338.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-29-455.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-30-625.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-30-765.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-30-829.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-30-845.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-30-915.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-30-971.dump
%WINDIR%\temp\content\4172-4680-powershell.exe-22-05-31-078.dump
<SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive