Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Google Update Agent' = '"%LOCALAPPDATA%\Microsoft\IdentityService\TextInputHost.exe" worker'
- [HKCU\Environment] 'UserInitMprLogonScript' = '"%LOCALAPPDATA%\Microsoft\IdentityService\TextInputHost.exe" worker'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\nvcontainertask_wjc7xx9zcc
- %APPDATA%\microsoft\windows\start menu\programs\startup\google update agent.lnk
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\IKEEXT] 'Start' = '00000002'
Вредоносные функции
Для обхода брандмауэра удаляет или модифицирует следующие ключи реестра
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile] 'DisableNotifications' = '00000001'
- [HKLM\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile] 'DisableNotifications' = '00000001'
Запускает на исполнение
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule "name=System Network Service" dir=in action=allow program=<SYSTEM32>\svchost.exe enable=yes profile=any
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule "name=System Network Service Out" dir=out action=allow program=<SYSTEM32>\svchost.exe enable=yes profile=any
- '<SYSTEM32>\netsh.exe' advfirewall set allprofiles settings inboundusernotification disable
Патчит код
в динамической библиотеке
- Процесс textinputhost.exe, модуль dbgcore.dll
в динамической библиотеке AMSI
- Процесс 000e3b5f.exe, модуль Amsi.dll
- Процесс textinputhost.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс 000e3b5f.exe, модуль ntdll.dll
- Процесс textinputhost.exe, модуль ntdll.dll
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\000e3b5f.exe
- %ALLUSERSPROFILE%\googleupdate\wjc7xx9zccfrxg3.lock
- %LOCALAPPDATA%\microsoft\identityservice\textinputhost.exe
- nul
- %TEMP%\.mn_43375858395a4343.pid
- %TEMP%\.wd_43375858395a4343.pid
- %TEMP%\db-1788810558.tmp
- %TEMP%\db-1823739615.tmp
- %TEMP%\db-2858386452.tmp
- %TEMP%\db-4187407985.tmp
- %TEMP%\db-1425803191.tmp
- %TEMP%\db-370002342.tmp
Удаляет следующие системные файлы
- %WINDIR%\prefetch\svchost.exe-109e4311.pf
- %WINDIR%\prefetch\svchost.exe-2880d0c5.pf
- %WINDIR%\prefetch\svchost.exe-4ba0e729.pf
- %WINDIR%\prefetch\svchost.exe-5b3160c7.pf
- %WINDIR%\prefetch\svchost.exe-6378753e.pf
- %WINDIR%\prefetch\svchost.exe-7cfedea3.pf
- %WINDIR%\prefetch\svchost.exe-80f4a784.pf
- %WINDIR%\prefetch\svchost.exe-8f1093d6.pf
- %WINDIR%\prefetch\svchost.exe-d217a328.pf
Удаляет файлы, которые сам же создал
- %TEMP%\000e3b5f.exe
- %TEMP%\db-1823739615.tmp
- %TEMP%\db-2858386452.tmp
- %TEMP%\db-1788810558.tmp
- %TEMP%\db-4187407985.tmp
- %TEMP%\db-370002342.tmp
- %TEMP%\db-1425803191.tmp
Сетевая активность
Подключается к
- '<DNS_SERVER>':53
- 'cr###alxrat.net':443
- 'ap#.#pify.org':443
- 'ip##pi.com':80
TCP
Запросы HTTP GET
Другие
- 'cr###alxrat.net':443
- 'ap#.#pify.org':443
UDP
- DNS ASK cr###alxrat.net
- DNS ASK ap#.#pify.org
- DNS ASK ip##pi.com
Другое
Создает и запускает на исполнение
- '%TEMP%\000e3b5f.exe'
- '%LOCALAPPDATA%\microsoft\identityservice\textinputhost.exe' worker
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -Command "Start-Sleep -Seconds 2; Remove-Item -Force '%TEMP%\000e3b5f.exe' -ErrorAction SilentlyContinue"
- '%LOCALAPPDATA%\microsoft\identityservice\textinputhost.exe' watchdog 4824
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /Create /TN NvContainerTask_WJC7XX9ZCC /TR "\"%LOCALAPPDATA%\Microsoft\IdentityService\TextInputHost.exe\" worker" /SC ONLOGON /RL HIGHEST /F (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -Command "$ws=(New-Object -ComObject WScript.Shell).CreateShortcut('%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\Google Update Agent.lnk');$ws.TargetPa... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command "$f=[wmiclass]\"root\subscription:__EventFilter\";$fi=$f.CreateInstance();$fi.Name='Google Update Agent_Filter';$fi.EventNamespac... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command "wevtutil sl \"Microsoft-Windows-TaskScheduler/Operational\" /e:false 2>$null" (со скрытым окном)
- '<SYSTEM32>\wevtutil.exe' sl Microsoft-Windows-TaskScheduler/Operational /e:false
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -Command "(Get-CimInstance Win32_Processor | Select-Object -ExpandProperty Name) -join ','" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command "wevtutil sl \"Microsoft-Windows-Services/Diagnostic\" /e:false 2>$null" (со скрытым окном)
- '<SYSTEM32>\wevtutil.exe' sl Microsoft-Windows-Services/Diagnostic /e:false
- '<SYSTEM32>\cmd.exe' /C wmic "path win32_VideoController get name" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' "path win32_VideoController get name"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -Command "Get-CimInstance -ClassName Win32_VideoController | Select-Object -ExpandProperty Name" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -Command "(Get-CimInstance Win32_PhysicalMemory | Measure-Object -Property Capacity -Sum).Sum" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -Command "(Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion').ProductName" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -NonInteractive -Command "(Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion').CurrentBuildNumber" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "(Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion').ProductName;'|||';(Get-CimInstance Win32_Processor | Select-Object -ExpandProperty Name) -join ',';'... (со скрытым окном)
- '<SYSTEM32>\net.exe' session (со скрытым окном)
- '<SYSTEM32>\net1.exe' session
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -WindowStyle Hidden -Command "$r=Get-WmiObject -Namespace root\subscription -Class __EventFilter -Filter \"Name='Google Update Agent_Filter'\" -ErrorAction Si... (со скрытым окном)
- '<SYSTEM32>\schtasks.exe' /Query /TN NvContainerTask_WJC7XX9ZCC (со скрытым окном)
- '%TEMP%\000e3b5f.exe' (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule "name=System Network Service" dir=in action=allow program=<SYSTEM32>\svchost.exe enable=yes profile=any (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall firewall add rule "name=System Network Service Out" dir=out action=allow program=<SYSTEM32>\svchost.exe enable=yes profile=any (со скрытым окном)
- '<SYSTEM32>\netsh.exe' advfirewall set allprofiles settings inboundusernotification disable (со скрытым окном)
- '%LOCALAPPDATA%\microsoft\identityservice\textinputhost.exe' worker (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -WindowStyle Hidden -Command "Start-Sleep -Seconds 2; Remove-Item -Force '%TEMP%\000e3b5f.exe' -ErrorAction SilentlyContinue" (со скрытым окном)
- '%LOCALAPPDATA%\microsoft\identityservice\textinputhost.exe' watchdog 4824 (со скрытым окном)
