Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'MyApplication' = ''
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\<Имя файла>
- <SYSTEM32>\tasks\mason<Имя файла>
- <SYSTEM32>\tasks\{500e4a72-349e-453f-9ae2-5a663bdef671}
- <SYSTEM32>\tasks\explorer
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\dllhost.exe
- %WINDIR%\explorer.exe
- <SYSTEM32>\winlogon.exe
- <SYSTEM32>\lsass.exe
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\dwm.exe
- <SYSTEM32>\wudfhost.exe
- <SYSTEM32>\spoolsv.exe
- <SYSTEM32>\sihost.exe
- <SYSTEM32>\taskhostw.exe
- <SYSTEM32>\runtimebroker.exe
- <SYSTEM32>\securityhealthsystray.exe
- <SYSTEM32>\schtasks.exe
- <SYSTEM32>\oobe\useroobebroker.exe
- <SYSTEM32>\cmd.exe
- <SYSTEM32>\conhost.exe
- <SYSTEM32>\timeout.exe
- <SYSTEM32>\sppextcomobj.exe
- <SYSTEM32>\slui.exe
- <SYSTEM32>\werfault.exe
следующие пользовательские процессы:
- iexplore.exe
- firefox.exe
- mason<Имя файла>.exe
- explorer.exe
Перехватывает функции
в браузерах
- Процесс iexplore.exe, модуль advapi32.dll
- Процесс firefox.exe, модуль advapi32.dll
Патчит код
в динамической библиотеке
- Процесс dllhost.exe, модуль KERNEL32.dll
- Процесс runtimebroker.exe, модуль ADVAPI32.dll
- Процесс timeout.exe, модуль SECHOST.dll
- Процесс timeout.exe, модуль ADVAPI32.dll
- Процесс cmd.exe, модуль SECHOST.dll
- Процесс cmd.exe, модуль ADVAPI32.dll
- Процесс schtasks.exe, модуль SECHOST.dll
- Процесс schtasks.exe, модуль ADVAPI32.dll
- Процесс slui.exe, модуль SECHOST.dll
- Процесс slui.exe, модуль ADVAPI32.dll
- Процесс explorer.exe, модуль SECHOST.dll
- Процесс werfault.exe, модуль SECHOST.dll
- Процесс werfault.exe, модуль ADVAPI32.dll
в динамической библиотеке AMSI
- Процесс masonzrdfbanh.exe, модуль Amsi.dll
- Процесс explorer.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс masonzrdfbanh.exe, модуль ntdll.dll
- Процесс dllhost.exe, модуль ntdll.dll
- Процесс timeout.exe, модуль ntdll.dll
- Процесс cmd.exe, модуль ntdll.dll
- Процесс schtasks.exe, модуль ntdll.dll
- Процесс slui.exe, модуль ntdll.dll
- Процесс explorer.exe, модуль ntdll.dll
- Процесс werfault.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\<Имя файла>.exe
- %TEMP%\masonkit.exe
- %APPDATA%\mason89715
- %APPDATA%\mason<Имя файла>.exe
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- %TEMP%\masonrootkit.exe
- %TEMP%\tmpda14.tmp.bat
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\masonkit.exe.log
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\masonrootkit.exe.log
- nul
- %APPDATA%\explorer.exe
Сетевая активность
Подключается к
- 'ra#.####ubusercontent.com':443
- 'de######44918.portmap.host':44918
TCP
Другие
- 'ra#.####ubusercontent.com':443
UDP
- DNS ASK ra#.####ubusercontent.com
- DNS ASK DE######44918.portmap.host
Другое
Ищет следующие окна
- ClassName: 'Progman' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\masonkit.exe'
- '%APPDATA%\mason<Имя файла>.exe'
- '%TEMP%\masonrootkit.exe'
- '%APPDATA%\explorer.exe'
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /f /sc minute /mo 1 /tn "<Имя файла>" /tr "%APPDATA%\<Имя файла>.exe" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /f /sc minute /mo 1 /tn "Mason<Имя файла>" /tr "%APPDATA%\Mason<Имя файла>.exe" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\tmpDA14.tmp.bat""
- '<SYSTEM32>\dllhost.exe' /Processid:{b875035b-3c2c-4cd7-8c93-f705d2327078}
- '<SYSTEM32>\timeout.exe' 3
- '<SYSTEM32>\schtasks.exe' /create /f /sc minute /mo 1 /tn "" /tr "%APPDATA%" (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /create /f /sc minute /mo 1 /tn "Explorer" /tr "%APPDATA%\Explorer.EXE" (со скрытым окном)
- '%TEMP%\masonkit.exe' (со скрытым окном)
- '%APPDATA%\mason<Имя файла>.exe' (со скрытым окном)
