Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\System\CurrentControlSet\Services\DiskFilterA7B41] 'ImagePath' = '%TEMP%\DiskFilterA7B41.sys'
- [HKLM\SYSTEM\CurrentControlSet\Services\MDDN] 'ImagePath' = '<DRIVERSTORE>\FileRepository\mddn.inf_amd64_aaa1f00e55b27fa9\MDDN.dll'
- [HKLM\SYSTEM\CurrentControlSet\Services\dump-PB802] 'ImagePath' = '<DRIVERS>\dump-PB802.sys'
- [HKLM\SYSTEM\CurrentControlSet\Services\dump-PB802] 'Start' = '00000001'
Создает следующие сервисы
- 'DiskFilterA7B41' %TEMP%\DiskFilterA7B41.sys
- 'MDDN' <DRIVERSTORE>\FileRepository\mddn.inf_amd64_aaa1f00e55b27fa9\MDDN.dll
- 'dump-PB802' <DRIVERS>\dump-PB802.sys
Вредоносные функции
Патчит код
в динамической библиотеке NTDLL
- Процесс fuwcux.exe, модуль ntdll.dll
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'RegmonClass', WindowName: ''
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\diskfiltera7b41.sys
- %TEMP%\wa9wci2fsxvhf6gm\mddn.inf
- %TEMP%\wa9wci2fsxvhf6gm\mddn.cat
- %TEMP%\wa9wci2fsxvhf6gm\mddn.sys
- %TEMP%\wa9wci2fsxvhf6gm\mddn.dll
- %TEMP%\{c3064e86-0a0d-0f4f-9fe7-01b6f3176925}\setf686.tmp
- %TEMP%\{c3064e86-0a0d-0f4f-9fe7-01b6f3176925}\setf6a6.tmp
- %TEMP%\{c3064e86-0a0d-0f4f-9fe7-01b6f3176925}\setf6b7.tmp
- %TEMP%\{c3064e86-0a0d-0f4f-9fe7-01b6f3176925}\setf6c7.tmp
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem3.cat
- %WINDIR%\inf\oem3.pnf
- <DRIVERS>\dump-pb802.sys
- nul
Присваивает атрибут 'скрытый' для следующих файлов
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem3.cat
Удаляет файлы, которые сам же создал
- %TEMP%\{c3064e86-0a0d-0f4f-9fe7-01b6f3176925}\mddn.cat
- %TEMP%\{c3064e86-0a0d-0f4f-9fe7-01b6f3176925}\mddn.dll
- %TEMP%\{c3064e86-0a0d-0f4f-9fe7-01b6f3176925}\mddn.inf
- %TEMP%\{c3064e86-0a0d-0f4f-9fe7-01b6f3176925}\mddn.sys
- %TEMP%\wa9wci2fsxvhf6gm\mddn.inf
- %TEMP%\wa9wci2fsxvhf6gm\mddn.cat
- %TEMP%\wa9wci2fsxvhf6gm\mddn.dll
- %TEMP%\wa9wci2fsxvhf6gm\mddn.sys
- <SYSTEM32>\catroot\{f750e6c3-38ee-11d1-85e5-00c04fc295ee}\oem3.cat
Перемещает следующие файлы
- %TEMP%\{c3064e86-0a0d-0f4f-9fe7-01b6f3176925}\setf686.tmp в %TEMP%\{c3064e86-0a0d-0f4f-9fe7-01b6f3176925}\mddn.cat
- %TEMP%\{c3064e86-0a0d-0f4f-9fe7-01b6f3176925}\setf6a6.tmp в %TEMP%\{c3064e86-0a0d-0f4f-9fe7-01b6f3176925}\mddn.dll
- %TEMP%\{c3064e86-0a0d-0f4f-9fe7-01b6f3176925}\setf6b7.tmp в %TEMP%\{c3064e86-0a0d-0f4f-9fe7-01b6f3176925}\mddn.inf
- %TEMP%\{c3064e86-0a0d-0f4f-9fe7-01b6f3176925}\setf6c7.tmp в %TEMP%\{c3064e86-0a0d-0f4f-9fe7-01b6f3176925}\mddn.sys
- <SYSTEM32>\catroot2\edbtmp.log в <SYSTEM32>\catroot2\edb.log
Самоперемещается
- из <Полный путь к файлу> в \:r0m4
Другое
Добавляет корневой сертификат
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Запускает на исполнение
- '<SYSTEM32>\svchost.exe' -k DcomLaunch -p -s DeviceInstall
- '<SYSTEM32>\cmd.exe' /c ping 127.0.0.1 -n 2 > nul & del /f /q "<Полный путь к файлу>"
- '<SYSTEM32>\ping.exe' 127.0.0.1 -n 2
