Trojan.Dridex.1601

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует следующие ключи реестра

[HKLM\Software\Microsoft\Windows\CurrentVersion\RunOnce] 'GrpConv' = 'grpconv -o'

Устанавливает следующие настройки сервисов

[HKLM\SYSTEM\CurrentControlSet\Services\DevIoDrv] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\DevIoDrv] 'ImagePath' = '<DRIVERS>\deviodrv.sys'
[HKLM\SYSTEM\CurrentControlSet\Services\AWEAlloc] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\AWEAlloc] 'ImagePath' = '<DRIVERS>\awealloc.sys'
[HKLM\SYSTEM\CurrentControlSet\Services\ImDisk] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\ImDisk] 'ImagePath' = '<DRIVERS>\imdisk.sys'
[HKLM\SYSTEM\CurrentControlSet\Services\ImDskSvc] 'Start' = '00000002'
[HKLM\SYSTEM\CurrentControlSet\Services\ImDskSvc] 'ImagePath' = '<SYSTEM32>\imdsksvc.exe'

Создает следующие сервисы

'DevIoDrv' <DRIVERS>\deviodrv.sys
'AWEAlloc' <DRIVERS>\awealloc.sys
'ImDisk' <DRIVERS>\imdisk.sys
'ImDskSvc' <SYSTEM32>\imdsksvc.exe

Вредоносные функции

Запускает на исполнение

'<SYSTEM32>\net.exe' stop awealloc
'<SYSTEM32>\net.exe' stop imdisk

Изменения в файловой системе

Создает следующие файлы

%TEMP%\onefile_6036_134165386298158840\ram_installer.dll
%TEMP%\onefile_6036_134165386298158840\_bz2.pyd
%TEMP%\onefile_6036_134165386298158840\_ctypes.pyd
%TEMP%\onefile_6036_134165386298158840\_decimal.pyd
%TEMP%\onefile_6036_134165386298158840\_hashlib.pyd
%TEMP%\onefile_6036_134165386298158840\_lzma.pyd
%TEMP%\onefile_6036_134165386298158840\_multiprocessing.pyd
%TEMP%\onefile_6036_134165386298158840\_queue.pyd
%TEMP%\onefile_6036_134165386298158840\_socket.pyd
%TEMP%\onefile_6036_134165386298158840\_ssl.pyd
%TEMP%\onefile_6036_134165386298158840\_uuid.pyd
%TEMP%\onefile_6036_134165386298158840\_wmi.pyd
%TEMP%\onefile_6036_134165386298158840\libcrypto-3.dll
%TEMP%\onefile_6036_134165386298158840\libffi-8.dll
%TEMP%\onefile_6036_134165386298158840\libssl-3.dll
%TEMP%\onefile_6036_134165386298158840\pyexpat.pyd
%TEMP%\onefile_6036_134165386298158840\python312.dll
%TEMP%\onefile_6036_134165386298158840\select.pyd
%TEMP%\onefile_6036_134165386298158840\unicodedata.pyd
%TEMP%\onefile_6036_134165386298158840\vcruntime140.dll
%TEMP%\onefile_6036_134165386298158840\vcruntime140_1.dll
%TEMP%\yi49uavd
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\imdisk.inf
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\install.cmd
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\uninstall_imdisk.cmd
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\awealloc\amd64\awealloc.sys
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\awealloc\i386\awealloc.sys
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\cli\amd64\imdisk.exe
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\cli\i386\imdisk.exe
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\cpl\amd64\imdisk.cpl
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\cpl\i386\imdisk.cpl
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\cplcore\amd64\imdisk.cpl
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\cplcore\i386\imdisk.cpl
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\deviodrv\amd64\deviodrv.sys
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\deviodrv\i386\deviodrv.sys
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\svc\amd64\imdsksvc.exe
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\svc\i386\imdsksvc.exe
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\sys\amd64\imdisk.sys
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\sys\i386\imdisk.sys
nul
<DRIVERS>\setfe65.tmp
<DRIVERS>\setfe66.tmp
<DRIVERS>\setfe77.tmp
<SYSTEM32>\setfe78.tmp
<SYSTEM32>\setfe89.tmp
<SYSTEM32>\setfe99.tmp
%WINDIR%\inf\setfeaa.tmp
%WINDIR%\syswow64\setfeab.tmp
%WINDIR%\syswow64\setfebb.tmp

Удаляет файлы, которые сам же создал

%TEMP%\yi49uavd
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\awealloc\amd64\awealloc.sys
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\awealloc\i386\awealloc.sys
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\cli\amd64\imdisk.exe
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\cli\i386\imdisk.exe
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\cpl\amd64\imdisk.cpl
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\cpl\i386\imdisk.cpl
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\cplcore\amd64\imdisk.cpl
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\cplcore\i386\imdisk.cpl
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\deviodrv\amd64\deviodrv.sys
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\deviodrv\i386\deviodrv.sys
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\svc\amd64\imdsksvc.exe
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\svc\i386\imdsksvc.exe
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\sys\amd64\imdisk.sys
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\sys\i386\imdisk.sys
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\imdisk.inf
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\install.cmd
%TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\uninstall_imdisk.cmd

Перемещает следующие файлы

<DRIVERS>\setfe65.tmp в <DRIVERS>\deviodrv.sys
<DRIVERS>\setfe66.tmp в <DRIVERS>\awealloc.sys
<DRIVERS>\setfe77.tmp в <DRIVERS>\imdisk.sys
<SYSTEM32>\setfe78.tmp в <SYSTEM32>\imdisk.exe
<SYSTEM32>\setfe89.tmp в <SYSTEM32>\imdisk.cpl
<SYSTEM32>\setfe99.tmp в <SYSTEM32>\imdsksvc.exe
%WINDIR%\inf\setfeaa.tmp в %WINDIR%\inf\imdisk.inf
%WINDIR%\syswow64\setfeab.tmp в %WINDIR%\syswow64\imdisk.exe
%WINDIR%\syswow64\setfebb.tmp в %WINDIR%\syswow64\imdisk.cpl

Изменяет следующие файлы

%LOCALAPPDATA%\microsoft\windows\explorer\explorerstartuplog_runonce.etl

Другое

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c %TEMP%\889fb0b0-8cbd-4737-99c8-b2b9b7054992\install.cmd
'<SYSTEM32>\net1.exe' stop awealloc
'<SYSTEM32>\net1.exe' stop imdisk
'<SYSTEM32>\rundll32.exe' setupapi.dll,InstallHinfSection DefaultInstall 132 .\imdisk.inf
'<SYSTEM32>\runonce.exe' -r
'<SYSTEM32>\grpconv.exe' -o
'<SYSTEM32>\net.exe' start awealloc
'<SYSTEM32>\net1.exe' start awealloc
'<SYSTEM32>\net.exe' start imdisk
'<SYSTEM32>\net1.exe' start imdisk
'<SYSTEM32>\takeown.exe' /F %WINDIR%\WinSxS /R /D Y