Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsSystemOptimizer1135' = '"%LOCALAPPDATA%\DataBuffer_Edition_v86_9196\SystemHelper.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'WindowsSystemOptimizer1135' = '"%LOCALAPPDATA%\DataBuffer_Edition_v86_9196\SystemHelper.exe"'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\windowssystemoptimizer1135.lnk
- <SYSTEM32>\tasks\systemoptimizertask_5492
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\LTGOGDMM] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\LTGOGDMM] 'ImagePath' = '%ALLUSERSPROFILE%\bfzuclqspvdv\edatmgbgynbe.exe'
- [HKLM\SYSTEM\CurrentControlSet\Services\WinRing0_1_2_0] 'ImagePath' = '%WINDIR%\TEMP\WinRing0x64.sys'
Создает следующие сервисы
- 'LTGOGDMM' %ALLUSERSPROFILE%\bfzuclqspvdv\edatmgbgynbe.exe
- 'WinRing0_1_2_0' %WINDIR%\TEMP\WinRing0x64.sys
Вредоносные функции
Для затруднения выявления своего присутствия в системе
блокирует:
- Журнал событий Windows (Windows Event Logging)
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "%LOCALAPPDATA%\NetworkBoost_Enterprise_v24_2086""
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "%LOCALAPPDATA%\DataBuffer_Edition_v86_9196""
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "C:\Users""
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "%ALLUSERSPROFILE%""
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "%WINDIR%\Temp""
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "%WINDIR%""
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "C:\Program Files""
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "C:\Program Files (x86)""
Создает и запускает на исполнение
- '%LOCALAPPDATA%\microsoft\e56014f631774070\rezzzz.exe' (загружен из сети Интернет)
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\conhost.exe
- <SYSTEM32>\svchost.exe
Завершает или пытается завершить
следующие пользовательские процессы:
- firefox.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\bgsjpto3.ddi
- %LOCALAPPDATA%\soupergame\cache\ec540a220bd749e3\trainer.rar
- %LOCALAPPDATA%\packages\windowsapps\bb5731d112a04347\mods.rar
- %LOCALAPPDATA%\microsoft\e56014f631774070\rezzzz.rar
- %LOCALAPPDATA%\microsoft\e56014f631774070\rezzzz.exe
- %LOCALAPPDATA%\soupergame\cache\ec540a220bd749e3\soupergametrainer.exe
- %LOCALAPPDATA%\packages\windowsapps\bb5731d112a04347\manp.exe
- %LOCALAPPDATA%\packages\windowsapps\bb5731d112a04347\ctfmon.exe
- %TEMP%\systrash_41\level1_0\level2_0\file_0.tmp
- %TEMP%\systrash_41\level1_0\level2_0\file_1.tmp
- %TEMP%\systrash_41\level1_0\level2_1\file_0.tmp
- %TEMP%\systrash_41\level1_0\level2_1\file_1.tmp
- %TEMP%\systrash_41\level1_0\level2_2\file_0.tmp
- %TEMP%\systrash_41\level1_0\level2_2\file_1.tmp
- %TEMP%\systrash_41\level1_1\level2_0\file_0.tmp
- %TEMP%\systrash_41\level1_1\level2_0\file_1.tmp
- %TEMP%\systrash_41\level1_1\level2_1\file_0.tmp
- %TEMP%\systrash_41\level1_1\level2_1\file_1.tmp
- %TEMP%\systrash_41\level1_1\level2_2\file_0.tmp
- %TEMP%\systrash_41\level1_1\level2_2\file_1.tmp
- %TEMP%\systrash_41\level1_2\level2_0\file_0.tmp
- %TEMP%\systrash_41\level1_2\level2_0\file_1.tmp
- %TEMP%\systrash_41\level1_2\level2_1\file_0.tmp
- %TEMP%\systrash_41\level1_2\level2_1\file_1.tmp
- %TEMP%\systrash_41\level1_2\level2_2\file_0.tmp
- %TEMP%\systrash_41\level1_2\level2_2\file_1.tmp
- %TEMP%\systrash_41\level1_3\level2_0\file_0.tmp
- %TEMP%\systrash_41\level1_3\level2_0\file_1.tmp
- %TEMP%\systrash_41\level1_3\level2_1\file_0.tmp
- %TEMP%\systrash_41\level1_3\level2_1\file_1.tmp
- %TEMP%\systrash_41\level1_3\level2_2\file_0.tmp
- %TEMP%\systrash_41\level1_3\level2_2\file_1.tmp
- %TEMP%\systrash_41\level1_4\level2_0\file_0.tmp
- %TEMP%\systrash_41\level1_4\level2_0\file_1.tmp
- %TEMP%\systrash_41\level1_4\level2_1\file_0.tmp
- %TEMP%\systrash_41\level1_4\level2_1\file_1.tmp
- %TEMP%\systrash_41\level1_4\level2_2\file_0.tmp
- %TEMP%\systrash_41\level1_4\level2_2\file_1.tmp
- %TEMP%\tmp_41.tmp
- %LOCALAPPDATA%\soupergame\cache\ec540a220bd749e3\trainer_log.txt
- %TEMP%\tmp_10432.tmp
- %TEMP%\tmp_3327.tmp
- %TEMP%\tmp_29792.tmp
- %TEMP%\tmp_18388.tmp
- %TEMP%\systrash_15\level1_0\level2_0\file_0.tmp
- %TEMP%\systrash_15\level1_0\level2_0\file_1.tmp
- %TEMP%\systrash_15\level1_0\level2_1\file_0.tmp
- %TEMP%\systrash_15\level1_0\level2_1\file_1.tmp
- %TEMP%\systrash_15\level1_0\level2_2\file_0.tmp
- %TEMP%\systrash_15\level1_0\level2_2\file_1.tmp
- %TEMP%\systrash_15\level1_1\level2_0\file_0.tmp
- %TEMP%\systrash_15\level1_1\level2_0\file_1.tmp
- %TEMP%\systrash_15\level1_1\level2_1\file_0.tmp
- %TEMP%\systrash_15\level1_1\level2_1\file_1.tmp
- %TEMP%\systrash_15\level1_1\level2_2\file_0.tmp
- %TEMP%\systrash_15\level1_1\level2_2\file_1.tmp
- %TEMP%\systrash_15\level1_2\level2_0\file_0.tmp
- %TEMP%\systrash_15\level1_2\level2_0\file_1.tmp
- %TEMP%\systrash_15\level1_2\level2_1\file_0.tmp
- %TEMP%\systrash_15\level1_2\level2_1\file_1.tmp
- %TEMP%\systrash_15\level1_2\level2_2\file_0.tmp
- %TEMP%\systrash_15\level1_2\level2_2\file_1.tmp
- %TEMP%\systrash_15\level1_3\level2_0\file_0.tmp
- %TEMP%\systrash_15\level1_3\level2_0\file_1.tmp
- %TEMP%\systrash_15\level1_3\level2_1\file_0.tmp
- %TEMP%\systrash_15\level1_3\level2_1\file_1.tmp
- %TEMP%\systrash_15\level1_3\level2_2\file_0.tmp
- %TEMP%\systrash_15\level1_3\level2_2\file_1.tmp
- %TEMP%\systrash_15\level1_4\level2_0\file_0.tmp
- %TEMP%\systrash_15\level1_4\level2_0\file_1.tmp
- %TEMP%\systrash_15\level1_4\level2_1\file_0.tmp
- %TEMP%\systrash_15\level1_4\level2_1\file_1.tmp
- %TEMP%\systrash_15\level1_4\level2_2\file_0.tmp
- %TEMP%\systrash_15\level1_4\level2_2\file_1.tmp
- %LOCALAPPDATA%\networkboost_enterprise_v24_2086\updaters.exe
- %TEMP%\te0c2ivr.ytp
- %TEMP%\oyi3s4r4.0ct
- %TEMP%\fwllw4m5.x4k
- %TEMP%\nhk3cept.jpf
- %TEMP%\t2fveljg.j5y
- %TEMP%\zjlxhc1t.04v
- %TEMP%\russia_185.93.40.66\browsers\history\google-chrome_history.txt
- %TEMP%\russia_185.93.40.66\info.txt
- %TEMP%\russia_185.93.40.66\windows_credentials\credentials.txt
- %TEMP%\russia_185.93.40.66\screenshot.png
- %TEMP%\russia_185.93.40.66\wallets\metamask_firefox_storage\3647222921wleabceoxlt-eengsairo.sqlite
- %TEMP%\ffcookies_07e89ef8-9b2f-4bca-aaaf-be8e2af89d9d.db
- %TEMP%\ffcookies_c0cd5a16-6655-47ea-b50e-98bb2aa04193.db
- %TEMP%\ffplaces_015ab5a4-9fe0-425d-a9d9-0d1a0c59b873.db
- %TEMP%\russia_185.93.40.66\browsers\history\firefox_history.txt
- %TEMP%\russia_185.93.40.66\browsers\firefox_profiles\profile_0_dnyauhh1.default-release\key4.db
- %TEMP%\russia_185.93.40.66\browsers\firefox_profiles\profile_0_dnyauhh1.default-release\cert9.db
- %TEMP%\russia_185.93.40.66_20260225_075939.zip
- %LOCALAPPDATA%\databuffer_edition_v86_9196\systemhelper.exe
- %ALLUSERSPROFILE%\bfzuclqspvdv\edatmgbgynbe.exe
- %WINDIR%\temp\lbzkpawgsqsf.sys
- %LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\updaters.exe.log
Удаляет файлы, которые сам же создал
- %TEMP%\bgsjpto3.ddi
- %LOCALAPPDATA%\packages\windowsapps\bb5731d112a04347\mods.rar
- %LOCALAPPDATA%\microsoft\e56014f631774070\rezzzz.rar
- %LOCALAPPDATA%\soupergame\cache\ec540a220bd749e3\trainer.rar
- %TEMP%\tmp_41.tmp
- %TEMP%\tmp_10432.tmp
- %TEMP%\tmp_3327.tmp
- %TEMP%\tmp_29792.tmp
- %TEMP%\tmp_18388.tmp
- %TEMP%\systrash_41\level1_0\level2_0\file_0.tmp
- %TEMP%\systrash_41\level1_0\level2_0\file_1.tmp
- %TEMP%\systrash_41\level1_0\level2_1\file_0.tmp
- %TEMP%\systrash_41\level1_0\level2_1\file_1.tmp
- %TEMP%\systrash_41\level1_0\level2_2\file_0.tmp
- %TEMP%\systrash_41\level1_0\level2_2\file_1.tmp
- %TEMP%\systrash_41\level1_1\level2_0\file_0.tmp
- %TEMP%\systrash_41\level1_1\level2_0\file_1.tmp
- %TEMP%\systrash_41\level1_1\level2_1\file_0.tmp
- %TEMP%\systrash_41\level1_1\level2_1\file_1.tmp
- %TEMP%\systrash_41\level1_1\level2_2\file_0.tmp
- %TEMP%\systrash_41\level1_1\level2_2\file_1.tmp
- %TEMP%\systrash_41\level1_2\level2_0\file_0.tmp
- %TEMP%\systrash_41\level1_2\level2_0\file_1.tmp
- %TEMP%\systrash_41\level1_2\level2_1\file_0.tmp
- %TEMP%\systrash_41\level1_2\level2_1\file_1.tmp
- %TEMP%\systrash_41\level1_2\level2_2\file_0.tmp
- %TEMP%\systrash_41\level1_2\level2_2\file_1.tmp
- %TEMP%\systrash_41\level1_3\level2_0\file_0.tmp
- %TEMP%\systrash_41\level1_3\level2_0\file_1.tmp
- %TEMP%\systrash_41\level1_3\level2_1\file_0.tmp
- %TEMP%\systrash_41\level1_3\level2_1\file_1.tmp
- %TEMP%\systrash_41\level1_3\level2_2\file_0.tmp
- %TEMP%\systrash_41\level1_3\level2_2\file_1.tmp
- %TEMP%\systrash_41\level1_4\level2_0\file_0.tmp
- %TEMP%\systrash_41\level1_4\level2_0\file_1.tmp
- %TEMP%\systrash_41\level1_4\level2_1\file_0.tmp
- %TEMP%\systrash_41\level1_4\level2_1\file_1.tmp
- %TEMP%\systrash_41\level1_4\level2_2\file_0.tmp
- %TEMP%\systrash_41\level1_4\level2_2\file_1.tmp
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\dw8aecpx\yr19pt46.htm
- %TEMP%\systrash_15\level1_0\level2_0\file_0.tmp
- %TEMP%\systrash_15\level1_0\level2_0\file_1.tmp
- %TEMP%\systrash_15\level1_0\level2_1\file_0.tmp
- %TEMP%\systrash_15\level1_0\level2_1\file_1.tmp
- %TEMP%\systrash_15\level1_0\level2_2\file_0.tmp
- %TEMP%\systrash_15\level1_0\level2_2\file_1.tmp
- %TEMP%\systrash_15\level1_1\level2_0\file_0.tmp
- %TEMP%\systrash_15\level1_1\level2_0\file_1.tmp
- %TEMP%\systrash_15\level1_1\level2_1\file_0.tmp
- %TEMP%\systrash_15\level1_1\level2_1\file_1.tmp
- %TEMP%\systrash_15\level1_1\level2_2\file_0.tmp
- %TEMP%\systrash_15\level1_1\level2_2\file_1.tmp
- %TEMP%\systrash_15\level1_2\level2_0\file_0.tmp
- %TEMP%\systrash_15\level1_2\level2_0\file_1.tmp
- %TEMP%\systrash_15\level1_2\level2_1\file_0.tmp
- %TEMP%\systrash_15\level1_2\level2_1\file_1.tmp
- %TEMP%\systrash_15\level1_2\level2_2\file_0.tmp
- %TEMP%\systrash_15\level1_2\level2_2\file_1.tmp
- %TEMP%\systrash_15\level1_3\level2_0\file_0.tmp
- %TEMP%\systrash_15\level1_3\level2_0\file_1.tmp
- %TEMP%\systrash_15\level1_3\level2_1\file_0.tmp
- %TEMP%\systrash_15\level1_3\level2_1\file_1.tmp
- %TEMP%\systrash_15\level1_3\level2_2\file_0.tmp
- %TEMP%\systrash_15\level1_3\level2_2\file_1.tmp
- %TEMP%\systrash_15\level1_4\level2_0\file_0.tmp
- %TEMP%\systrash_15\level1_4\level2_0\file_1.tmp
- %TEMP%\systrash_15\level1_4\level2_1\file_0.tmp
- %TEMP%\systrash_15\level1_4\level2_1\file_1.tmp
- %TEMP%\systrash_15\level1_4\level2_2\file_0.tmp
- %TEMP%\systrash_15\level1_4\level2_2\file_1.tmp
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\ie\y3dpqwuh\is9fl33p.htm
- %TEMP%\te0c2ivr.ytp
- %TEMP%\oyi3s4r4.0ct
- %TEMP%\fwllw4m5.x4k
- %TEMP%\nhk3cept.jpf
- %TEMP%\t2fveljg.j5y
- %TEMP%\zjlxhc1t.04v
- %TEMP%\ffcookies_07e89ef8-9b2f-4bca-aaaf-be8e2af89d9d.db
- %TEMP%\ffcookies_c0cd5a16-6655-47ea-b50e-98bb2aa04193.db
- %TEMP%\ffplaces_015ab5a4-9fe0-425d-a9d9-0d1a0c59b873.db
- %TEMP%\russia_185.93.40.66_20260225_075939.zip
- %TEMP%\russia_185.93.40.66\browsers\firefox_profiles\profile_0_dnyauhh1.default-release\cert9.db
- %TEMP%\russia_185.93.40.66\browsers\firefox_profiles\profile_0_dnyauhh1.default-release\key4.db
- %TEMP%\russia_185.93.40.66\browsers\history\firefox_history.txt
- %TEMP%\russia_185.93.40.66\browsers\history\google-chrome_history.txt
- %TEMP%\russia_185.93.40.66\info.txt
- %TEMP%\russia_185.93.40.66\screenshot.png
- %TEMP%\russia_185.93.40.66\wallets\metamask_firefox_storage\3647222921wleabceoxlt-eengsairo.sqlite
- %TEMP%\russia_185.93.40.66\windows_credentials\credentials.txt
Подменяет следующие файлы
- %TEMP%\tmp_41.tmp
- %TEMP%\tmp_10432.tmp
- %TEMP%\tmp_3327.tmp
- %TEMP%\tmp_29792.tmp
- %TEMP%\tmp_18388.tmp
Сетевая активность
Подключается к
- 'google.com':80
- 'microsoft.com':80
- 'gi##ub.com':80
- 'gi##ub.com':443
- 'oc##.#ectigo.com':80
- '62.##.226.97':5553
- 'ap#.#pify.org':443
- 'ip##pi.com':80
- '95.##.236.51':5555
- 'po##.#ashvault.pro':443
- 'tr####rmago.live':443
- 'localhost':9050
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?98##############
- http://oc##.#ectigo.com/MFEwTzBNMEswSTAJBgUrDgMCGgUABBS3DhJWomGbOJFU%2Fpy58BaOB6aMCwQUF5moBMFv5C1wqAoQPQPT6Rq4JmMCEAJ2Von%2B5S%2BFxMikdlDoS74%3D
- http://62.##.226.97:5553/saloreap.exe via 62.##.226.97
- http://ip##pi.com/json/185.93.40.66?fi########################
- http://62.##.226.97:5553/kopilka.exe via 62.##.226.97
Другие
- 'un####nedfix.guru':443
- 'gi##ub.com':443
- 're#########ets.githubusercontent.com':443
- 'ap#.#pify.org':443
- 'tr####rmago.live':443
- 'po##.#ashvault.pro':443
UDP
- DNS ASK un####nedfix.guru
- DNS ASK gi##ub.com
- DNS ASK re#########ets.githubusercontent.com
- DNS ASK google.com
- DNS ASK microsoft.com
- DNS ASK oc##.#ectigo.com
- DNS ASK ap#.#pify.org
- DNS ASK ip##pi.com
- DNS ASK po##.#ashvault.pro
- DNS ASK tr####rmago.live
Другое
Создает и запускает на исполнение
- '%LOCALAPPDATA%\microsoft\e56014f631774070\rezzzz.exe'
- '%LOCALAPPDATA%\soupergame\cache\ec540a220bd749e3\soupergametrainer.exe'
- '%LOCALAPPDATA%\packages\windowsapps\bb5731d112a04347\ctfmon.exe'
- '%LOCALAPPDATA%\networkboost_enterprise_v24_2086\updaters.exe'
- '%LOCALAPPDATA%\databuffer_edition_v86_9196\systemhelper.exe'
- '%ALLUSERSPROFILE%\bfzuclqspvdv\edatmgbgynbe.exe'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "SystemOptimizerTask_5492" /tr "%LOCALAPPDATA%\DataBuffer_Edition_v86_9196\SystemHelper.exe" /sc onlogon /rl highest /f (со скрытым окном)
- '<SYSTEM32>\sc.exe' delete "LTGOGDMM"
- '<SYSTEM32>\sc.exe' create "LTGOGDMM" binpath= "%ALLUSERSPROFILE%\bfzuclqspvdv\edatmgbgynbe.exe" start= "auto"
- '<SYSTEM32>\sc.exe' stop eventlog
- '<SYSTEM32>\sc.exe' start "LTGOGDMM"
- '<SYSTEM32>\svchost.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "%LOCALAPPDATA%\NetworkBoost_Enterprise_v24_2086"" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "%LOCALAPPDATA%\DataBuffer_Edition_v86_9196"" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "C:\Users"" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "%ALLUSERSPROFILE%"" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "%WINDIR%\Temp"" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "%WINDIR%"" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "C:\Program Files"" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath "C:\Program Files (x86)"" (со скрытым окном)
- '%LOCALAPPDATA%\databuffer_edition_v86_9196\systemhelper.exe' (со скрытым окном)
