Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'SystemService' = '"%APPDATA%\SystemService\SystemService.exe"'
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM SystemService.exe /FI "PID ne 4984"
- '<SYSTEM32>\taskkill.exe' /F /PID 2544
- '<SYSTEM32>\taskkill.exe' /F /PID 1876
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\onefile_2544_134169161521777175\nuitka_entry.dll
- %TEMP%\onefile_2544_134169161521777175\_asyncio.pyd
- %TEMP%\onefile_2544_134169161521777175\_bz2.pyd
- %TEMP%\onefile_2544_134169161521777175\_ctypes.pyd
- %TEMP%\onefile_2544_134169161521777175\_decimal.pyd
- %TEMP%\onefile_2544_134169161521777175\_elementtree.pyd
- %TEMP%\onefile_2544_134169161521777175\_hashlib.pyd
- %TEMP%\onefile_2544_134169161521777175\_lzma.pyd
- %TEMP%\onefile_2544_134169161521777175\_multiprocessing.pyd
- %TEMP%\onefile_2544_134169161521777175\_overlapped.pyd
- %TEMP%\onefile_2544_134169161521777175\_queue.pyd
- %TEMP%\onefile_2544_134169161521777175\_socket.pyd
- %TEMP%\onefile_2544_134169161521777175\_ssl.pyd
- %TEMP%\onefile_2544_134169161521777175\_uuid.pyd
- %TEMP%\onefile_2544_134169161521777175\_wmi.pyd
- %TEMP%\onefile_2544_134169161521777175\app_icon.ico
- %TEMP%\onefile_2544_134169161521777175\libcrypto-3.dll
- %TEMP%\onefile_2544_134169161521777175\libffi-8.dll
- %TEMP%\onefile_2544_134169161521777175\libssl-3.dll
- %TEMP%\onefile_2544_134169161521777175\pyexpat.pyd
- %TEMP%\onefile_2544_134169161521777175\python3.dll
- %TEMP%\onefile_2544_134169161521777175\python313.dll
- %TEMP%\onefile_2544_134169161521777175\select.pyd
- %TEMP%\onefile_2544_134169161521777175\unicodedata.pyd
- %TEMP%\onefile_2544_134169161521777175\vcruntime140.dll
- %TEMP%\onefile_2544_134169161521777175\vcruntime140_1.dll
- %TEMP%\onefile_2544_134169161521777175\markupsafe\_speedups.pyd
- %TEMP%\onefile_2544_134169161521777175\psutil\_psutil_windows.pyd
- %TEMP%\onefile_2544_134169161521777175\websockets\speedups.pyd
- nul
- %APPDATA%\systemservice\systemservice.exe
- %TEMP%\9awhwqqd
- %TEMP%\tmp7isnlo48.vbs
- %TEMP%\onefile_1876_134169161563580282\nuitka_entry.dll
- %TEMP%\onefile_1876_134169161563580282\_asyncio.pyd
- %TEMP%\onefile_1876_134169161563580282\_bz2.pyd
- %TEMP%\onefile_1876_134169161563580282\_ctypes.pyd
- %TEMP%\onefile_1876_134169161563580282\_decimal.pyd
- %TEMP%\onefile_1876_134169161563580282\_elementtree.pyd
- %TEMP%\onefile_1876_134169161563580282\_hashlib.pyd
- %TEMP%\onefile_1876_134169161563580282\_lzma.pyd
- %TEMP%\onefile_1876_134169161563580282\_multiprocessing.pyd
- %TEMP%\onefile_1876_134169161563580282\_overlapped.pyd
- %TEMP%\onefile_1876_134169161563580282\_queue.pyd
- %TEMP%\onefile_1876_134169161563580282\_socket.pyd
- %TEMP%\onefile_1876_134169161563580282\_ssl.pyd
- %TEMP%\onefile_1876_134169161563580282\_uuid.pyd
- %TEMP%\onefile_1876_134169161563580282\_wmi.pyd
- %TEMP%\onefile_1876_134169161563580282\app_icon.ico
- %TEMP%\onefile_1876_134169161563580282\libcrypto-3.dll
- %TEMP%\onefile_1876_134169161563580282\libffi-8.dll
- %TEMP%\onefile_1876_134169161563580282\libssl-3.dll
- %TEMP%\onefile_1876_134169161563580282\pyexpat.pyd
- %TEMP%\onefile_1876_134169161563580282\python3.dll
- %TEMP%\onefile_1876_134169161563580282\python313.dll
- %TEMP%\onefile_1876_134169161563580282\select.pyd
- %TEMP%\onefile_1876_134169161563580282\unicodedata.pyd
- %TEMP%\onefile_1876_134169161563580282\vcruntime140.dll
- %TEMP%\onefile_1876_134169161563580282\vcruntime140_1.dll
- %TEMP%\onefile_1876_134169161563580282\markupsafe\_speedups.pyd
- %TEMP%\onefile_1876_134169161563580282\psutil\_psutil_windows.pyd
- %TEMP%\onefile_1876_134169161563580282\websockets\speedups.pyd
- %APPDATA%\systemservice\data\config.dat
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\systemservice\systemservice.exe
- <Текущая директория>\del_6086.tmp
Удаляет файлы, которые сам же создал
- %TEMP%\9awhwqqd
- %TEMP%\tmp7isnlo48.vbs
Самоперемещается
- из <Полный путь к файлу> в <Текущая директория>\del_6086.tmp
Самоудаляется.
Сетевая активность
UDP
- DNS ASK fi#####.###tings.services.mozilla.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '%APPDATA%\systemservice\systemservice.exe'
- '<SYSTEM32>\wscript.exe' "%TEMP%\tmp7isnlo48.vbs"
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "taskkill /F /PID 2544" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c "taskkill /F /PID 1876" (со скрытым окном)
