Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'OneDriveBORN' = 'cmd /c "%APPDATA%\Microsoft\CONSERVATIVE\STROKE.cmd"'
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
Патчит код
в динамической библиотеке AMSI
- Процесс explorer.exe, модуль Amsi.dll
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\microsoft\conservative\stroke.cmd
- nul
- %TEMP%\vfpjiffc\vfpjiffc.0.cs
- %TEMP%\vfpjiffc\vfpjiffc.cmdline
- %TEMP%\vfpjiffc\vfpjiffc.out
- %TEMP%\vfpjiffc\csc98bced3ea84741e7a776eb3cadc73992.tmp
- %TEMP%\res2dc7.tmp
- %TEMP%\vfpjiffc\vfpjiffc.dll
- %TEMP%\naarsn0y\naarsn0y.0.cs
- %TEMP%\naarsn0y\naarsn0y.cmdline
- %TEMP%\naarsn0y\naarsn0y.out
- %TEMP%\naarsn0y\csc204026224ac949acbf6337e72938e3fe.tmp
- %TEMP%\res3307.tmp
- %TEMP%\naarsn0y\naarsn0y.dll
Удаляет файлы, которые сам же создал
- %TEMP%\res2dc7.tmp
- %TEMP%\vfpjiffc\csc98bced3ea84741e7a776eb3cadc73992.tmp
- %TEMP%\vfpjiffc\vfpjiffc.cmdline
- %TEMP%\vfpjiffc\vfpjiffc.dll
- %TEMP%\vfpjiffc\vfpjiffc.out
- %TEMP%\vfpjiffc\vfpjiffc.0.cs
- %TEMP%\res3307.tmp
- %TEMP%\naarsn0y\csc204026224ac949acbf6337e72938e3fe.tmp
- %TEMP%\naarsn0y\naarsn0y.dll
- %TEMP%\naarsn0y\naarsn0y.cmdline
- %TEMP%\naarsn0y\naarsn0y.out
- %TEMP%\naarsn0y\naarsn0y.0.cs
Сетевая активность
Подключается к
- '20#.#0.160.190':7003
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /K "<PATH_SAMPLE>.bat"
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "OneDriveBORN" /t REG_SZ /d "cmd /c \"%APPDATA%\Microsoft\CONSERVATIVE\STROKE.cmd\"" /f
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle h -EP Bypass -c "try { $SHIRT = Get-Content '<PATH_SAMPLE>.bat' -Raw; if ($SHIRT -match 'REMWPlLBUPqXkNyJ79p8g9wDMe([A-Za-z0-9+/=]+)') { $executive = [Text.Encoding]::UT...
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\vfpjiffc\vfpjiffc.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES2DC7.tmp" "%TEMP%\vfpjiffc\CSC98BCED3EA84741E7A776EB3CADC73992.TMP" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\naarsn0y\naarsn0y.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES3307.tmp" "%TEMP%\naarsn0y\CSC204026224AC949ACBF6337E72938E3FE.TMP" (со скрытым окном)
