Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Runtime' = '%APPDATA%\Windows\System32\LsaIso.exe'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'Windows Runtime' = '%APPDATA%\Windows\System32\LsaIso.exe'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'SystemRestore' = '%TEMP%\lsass.tmp'
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows] 'AppInit_DLLs' = '%APPDATA%\Windows\System32\LsaIso.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\system.vbs
Вредоносные функции
Запускает большое число процессов
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\windowspowershell\v1.0\powershell.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei32442\vcruntime140.dll
- %TEMP%\_mei32442\_bz2.pyd
- %TEMP%\_mei32442\_ctypes.pyd
- %TEMP%\_mei32442\_decimal.pyd
- %TEMP%\_mei32442\_hashlib.pyd
- %TEMP%\_mei32442\_lzma.pyd
- %TEMP%\_mei32442\_socket.pyd
- %TEMP%\_mei32442\_ssl.pyd
- %TEMP%\_mei32442\base_library.zip
- %TEMP%\_mei32442\libcrypto-1_1.dll
- %TEMP%\_mei32442\libffi-7.dll
- %TEMP%\_mei32442\libssl-1_1.dll
- %TEMP%\_mei32442\python310.dll
- %TEMP%\_mei32442\select.pyd
- %TEMP%\_mei32442\unicodedata.pyd
- %APPDATA%\windows\system32\lsaiso.exe
- %TEMP%\lsass.tmp
- %TEMP%\task.xml
- %APPDATA%\windows\system32\.system
- nul
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\windows\system32\lsaiso.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\system.vbs
- %APPDATA%\windows\system32\.system
Удаляет файлы, которые сам же создал
- %TEMP%\task.xml
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "attrib +H +S %APPDATA%\Windows\System32" (со скрытым окном)
- '<SYSTEM32>\attrib.exe' +H +S %APPDATA%\Windows\System32
- '<SYSTEM32>\cmd.exe' /c "attrib +H +S +R %APPDATA%\Windows\System32\LsaIso.exe" (со скрытым окном)
- '<SYSTEM32>\attrib.exe' +H +S +R %APPDATA%\Windows\System32\LsaIso.exe
- '<SYSTEM32>\cmd.exe' /c "schtasks /create /tn Microsoft\Windows\SystemRestore /xml %TEMP%\task.xml /f" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /tn Microsoft\Windows\SystemRestore /xml %TEMP%\task.xml /f
- '<SYSTEM32>\cmd.exe' /c "schtasks /change /tn Microsoft\Windows\SystemRestore /disable" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /change /tn Microsoft\Windows\SystemRestore /disable
- '<SYSTEM32>\cmd.exe' /c "attrib +H +S "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\System.vbs"" (со скрытым окном)
- '<SYSTEM32>\attrib.exe' +H +S "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\System.vbs"
- '<SYSTEM32>\cmd.exe' /c "powershell -Command " $Filter = Set-WmiInstance -Class __EventFilter -Namespace \"root\subscription\" -Arguments @{ Name = \"SystemHealthMonitor\"; EventNamespace = \"root\Cimv2\"; ... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "
- '<SYSTEM32>\cmd.exe' /c "attrib +H +S %APPDATA%\Windows\System32\.system" (со скрытым окном)
- '<SYSTEM32>\attrib.exe' +H +S %APPDATA%\Windows\System32\.system
- '<SYSTEM32>\cmd.exe' /c "cmd /c "ping 127.0.0.1 -n 3 > nul & del /f /q" \"<Полный путь к файлу>\"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "ping 127.0.0.1 -n 3 > nul & del /f /q" \"<Полный путь к файлу>\"
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 3
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Get-Clipboard -Raw" (со скрытым окном)
