Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\tkrvlsxt
- <SYSTEM32>\tasks\hostdatachart
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "Add-MpPreference -ExclusionPath @('%TEMP%\','%TEMP%\tkrvlsxt.exe','%APPDATA%','%APPDATA%','RuntimeBroker.exe','Installutil.exe','AppLaunch.exe','dwm.exe','svchost....
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\content\1596-3000-<Имя файла>.exe-22-05-19-081.dump
- %TEMP%\content\1596-3000-<Имя файла>.exe-22-05-27-256.dump
- %TEMP%\content\1596-3000-<Имя файла>.exe-22-05-27-352.dump
- %TEMP%\content\1596-3000-<Имя файла>.exe-22-05-37-584.dump
- %TEMP%\tkrvlsxt.exe
- %TEMP%\content\3496-4752-tkrvlsxt.exe-22-05-58-918.dump
- %TEMP%\tmp_1463028752.exe
- %APPDATA%\hostdata\btpxe\sysdata.exe
- %APPDATA%\hostdata\install.dat
- %TEMP%\content\4896-3380-tmp_1463028752.exe-22-06-04-337.dump
- %APPDATA%\hostdata\btpxe\diagsvc.dll
- %APPDATA%\hostdata\btpxe\sdrsvc.dll
- %TEMP%\74wzuuyc.bat
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\tmp_1463028752.exe.log
- %TEMP%\cleanup_42277984-9882-4e0c-a4c9-fdc930693c9f.bat
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\tkrvlsxt.exe.log
- nul
Удаляет файлы, которые сам же создал
- <SYSTEM32>\tasks\tkrvlsxt
Сетевая активность
Подключается к
- 'wn####on.hopto.org':58007
- 'gi##ub.com':443
- 'ra#.####ubusercontent.com':443
- 'ap#.#pify.org':443
TCP
Другие
- 'wn####on.hopto.org':58007
- 'gi##ub.com':443
- 'ra#.####ubusercontent.com':443
- 'ap#.#pify.org':443
UDP
- DNS ASK wn####on.hopto.org
- DNS ASK gi##ub.com
- DNS ASK ra#.####ubusercontent.com
- DNS ASK ap#.#pify.org
Другое
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\tkrvlsxt.exe'
- '%TEMP%\tmp_1463028752.exe'
- '%APPDATA%\hostdata\btpxe\sysdata.exe'
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden Start-Process '%TEMP%\\tmp_1463028752.exe'
- '<SYSTEM32>\schtasks.exe' /Create /TN "HostDataChart" /TR "\"%APPDATA%\HostData\btpxe\sysdata.exe\"" /SC ONLOGON /DELAY 0002:00 /RL HIGHEST /F
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\74wzuuyc.bat""
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\cleanup_42277984-9882-4e0c-a4c9-fdc930693c9f.bat""
- '<SYSTEM32>\timeout.exe' /t 3 /nobreak
- '<SYSTEM32>\timeout.exe' /t 1 /nobreak
