Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\telemetry logging
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\GROXMJKH] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\GROXMJKH] 'ImagePath' = '%ALLUSERSPROFILE%\uwovflzyxjdk\mvtwzbysisnm.exe'
Создает следующие сервисы
- 'GROXMJKH' %ALLUSERSPROFILE%\uwovflzyxjdk\mvtwzbysisnm.exe
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Add-MpPreference -ExclusionPath @($env:UserProfile, $env:ProgramData) -ExclusionExtension '.exe' -Force
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\dialer.exe
- <SYSTEM32>\winlogon.exe
- <SYSTEM32>\lsass.exe
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\dwm.exe
- <SYSTEM32>\wudfhost.exe
- <SYSTEM32>\spoolsv.exe
- <SYSTEM32>\sihost.exe
- <SYSTEM32>\taskhostw.exe
- %WINDIR%\explorer.exe
- <SYSTEM32>\runtimebroker.exe
- <SYSTEM32>\dllhost.exe
- <SYSTEM32>\securityhealthsystray.exe
- <SYSTEM32>\oobe\useroobebroker.exe
- <SYSTEM32>\sc.exe
- <SYSTEM32>\conhost.exe
следующие пользовательские процессы:
- hziik.exe
- iexplore.exe
- firefox.exe
- kxfrx.exe
- fodhelper.exe
Перехватывает функции
в браузерах
- Процесс iexplore.exe, модуль advapi32.dll
- Процесс firefox.exe, модуль advapi32.dll
Патчит код
в динамической библиотеке
- Процесс dialer.exe, модуль KERNEL32.dll
- Процесс runtimebroker.exe, модуль ADVAPI32.dll
в динамической библиотеке NTDLL
- Процесс dialer.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\content\4924-4328-<Имя файла>.exe-21-27-18-157.dump
- %TEMP%\content\4924-4328-<Имя файла>.exe-21-27-21-974.dump
- %TEMP%\content\4924-4328-<Имя файла>.exe-21-27-22-418.dump
- %TEMP%\content\4924-4328-<Имя файла>.exe-21-27-23-210.dump
- %TEMP%\content\4924-4328-<Имя файла>.exe-21-27-23-388.dump
- %TEMP%\hziik.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- %LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\hziik.exe.log
- %ALLUSERSPROFILE%\uwovflzyxjdk\mvtwzbysisnm.exe
- %TEMP%\l0gin.exe
- %TEMP%\kxfrx.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\kxfrx.exe.log
- %APPDATA%\microsoft\telemetryservices\fodhelper.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\fodhelper.exe.log
Изменяет файл HOSTS.
Другое
Создает и запускает на исполнение
- '%TEMP%\hziik.exe'
- '%TEMP%\l0gin.exe'
- '%TEMP%\kxfrx.exe'
- '%APPDATA%\microsoft\telemetryservices\fodhelper.exe'
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c powershell set-mppreference -exclusionpath C:\ (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' set-mppreference -exclusionpath C:\
- '<SYSTEM32>\cmd.exe' /c wusa /uninstall /kb:890830 /quiet /norestart
- '<SYSTEM32>\sc.exe' stop UsoSvc
- '<SYSTEM32>\sc.exe' stop WaaSMedicSvc
- '<SYSTEM32>\wusa.exe' /uninstall /kb:890830 /quiet /norestart
- '<SYSTEM32>\sc.exe' stop wuauserv
- '<SYSTEM32>\sc.exe' stop bits
- '<SYSTEM32>\sc.exe' stop dosvc
- '<SYSTEM32>\dialer.exe'
- '<SYSTEM32>\sc.exe' delete "GROXMJKH"
- '<SYSTEM32>\sc.exe' create "GROXMJKH" binpath= "%ALLUSERSPROFILE%\uwovflzyxjdk\mvtwzbysisnm.exe" start= "auto"
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -EncodedCommand "PAAjAGEAagBzACMAPgBBAGQAZAAtAE0AcABQAHIAZQBmAGUAcgBlAG4AYwBlACAAPAAjAHIAbgB6ACMAPgAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgAEAAKAAkAGUAbgB2ADoAVQBzAGUAcgBQAHIAbwBmAGkAbABlACwA... (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /create /F /sc minute /mo 1 /tn "Telemetry Logging" /tr "%APPDATA%\Microsoft\TelemetryServices\fodhelper.exe"
- '%TEMP%\l0gin.exe' (со скрытым окном)
- '%TEMP%\kxfrx.exe' (со скрытым окном)
