Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"C:\MSOCache\All Users\csrss.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'csrss' = '"C:\MSOCache\All Users\csrss.exe"'
- [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\MSOCache\All Users\csrss.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'taskhostw' = '"%HOMEPATH%\taskhostw.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'taskhostw' = '"%HOMEPATH%\taskhostw.exe"'
- [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\MSOCache\All Users\csrss.exe", "%HOMEPATH%\taskhostw.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'explorer' = '"C:\Users\Default User\explorer.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'explorer' = '"C:\Users\Default User\explorer.exe"'
- [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\MSOCache\All Users\csrss.exe", "%HOMEPATH%\taskhostw.exe", "C:\Users\Default User\explorer.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'spoolsv' = '"<Текущая директория>\spoolsv.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'spoolsv' = '"<Текущая директория>\spoolsv.exe"'
- [HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon] 'Shell' = 'explorer.exe, "C:\MSOCache\All Users\csrss.exe", "%HOMEPATH%\taskhostw.exe", "C:\Users\Default User\explorer.exe", "<Теку...
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Registry' = '"C:\MSOCache\All Users\{90160000-001B-0409-0000-0000000FF1CE}-C\Registry.exe"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] 'Registry' = '"C:\MSOCache\All Users\{90160000-001B-0409-0000-0000000FF1CE}-C\Registry.exe"'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"<Полный путь к файлу>"'
- [HKLM\Software\Microsoft\Windows\CurrentVersion\Run] '<Имя файла>' = '"<Полный путь к файлу>"'
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\csrssc
- <SYSTEM32>\tasks\csrss
- <SYSTEM32>\tasks\taskhostwt
- <SYSTEM32>\tasks\taskhostw
- <SYSTEM32>\tasks\explorere
- <SYSTEM32>\tasks\explorer
- <SYSTEM32>\tasks\spoolsvs
- <SYSTEM32>\tasks\spoolsv
- <SYSTEM32>\tasks\registryr
- <SYSTEM32>\tasks\registry
- <SYSTEM32>\tasks\<Имя файла>z
- <SYSTEM32>\tasks\<Имя файла>
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\MSOCache\All Users\csrss.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '%HOMEPATH%\taskhostw.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\Users\Default User\explorer.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Текущая директория>\spoolsv.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath 'C:\MSOCache\All Users\{90160000-001B-0409-0000-0000000FF1CE}-C\Registry.exe'
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -Command Add-MpPreference -ExclusionPath '<Полный путь к файлу>'
Патчит код
в динамической библиотеке
- Процесс zvvzxkkm.exe, модуль KERNEL32.dll
Изменения в файловой системе
Создает следующие файлы
- <Текущая директория>\5c36f38fe6021e
- C:\msocache\all users\{90160000-001b-0409-0000-0000000ff1ce}-c\registry.exe
- C:\msocache\all users\{90160000-001b-0409-0000-0000000ff1ce}-c\ee2ad38f3d4382
- <Текущая директория>\spoolsv.exe
- <Текущая директория>\f3b6ecef712a24
- C:\users\default user\explorer.exe
- C:\users\default user\7a0fd90576e088
- %HOMEPATH%\taskhostw.exe
- %HOMEPATH%\ea9f0e6c9e2dcd
- C:\msocache\all users\csrss.exe
- C:\msocache\all users\886983d96e3d3e
- %TEMP%\content\4480-4160-<Имя файла>.exe-14-42-25-749.dump
- %TEMP%\content\4480-4160-<Имя файла>.exe-14-42-26-283.dump
- %TEMP%\content\4480-4160-<Имя файла>.exe-14-42-26-515.dump
- %TEMP%\content\4480-4160-<Имя файла>.exe-14-42-26-857.dump
- %TEMP%\content\4480-4160-<Имя файла>.exe-14-42-27-020.dump
- %TEMP%\content\4480-4160-<Имя файла>.exe-14-42-27-189.dump
- %TEMP%\content\4480-4160-<Имя файла>.exe-14-42-27-422.dump
- %TEMP%\content\4480-4160-<Имя файла>.exe-14-42-27-646.dump
- %TEMP%\content\4480-4160-<Имя файла>.exe-14-42-27-891.dump
- %TEMP%\content\4480-4160-<Имя файла>.exe-14-42-28-107.dump
- %TEMP%\content\4480-4160-<Имя файла>.exe-14-42-28-310.dump
- %TEMP%\content\4480-4160-<Имя файла>.exe-14-42-28-504.dump
- %TEMP%\content\4480-4160-<Имя файла>.exe-14-42-28-707.dump
- %TEMP%\content\4480-4160-<Имя файла>.exe-14-42-28-893.dump
- %TEMP%\content\4480-4160-<Имя файла>.exe-14-42-29-109.dump
- %TEMP%\content\4480-4160-<Имя файла>.exe-14-42-29-333.dump
- %TEMP%\content\4480-4160-<Имя файла>.exe-14-42-29-560.dump
- %TEMP%\content\4480-4160-<Имя файла>.exe-14-42-29-768.dump
- %TEMP%\ebtax6kaki
- %TEMP%\buttrcaqll.bat
- %LOCALAPPDATA%\microsoft\clr_v4.0\usagelogs\<Имя файла>.exe.log
- nul
- %TEMP%\ddlolfbytc
- %TEMP%\fsjwje2h9k.bat
- %TEMP%\oalmmntkiw
- %TEMP%\dyhsyfvcia.bat
- %TEMP%\00zcf6vty0
- %TEMP%\iumwaymtec.bat
- %TEMP%\bdjs9lnsub
- %TEMP%\r64hsi6xsg.bat
- %TEMP%\zwcbuoelgp
- %TEMP%\gzp9pasqzt.bat
- %TEMP%\m6tetknpjc
- %TEMP%\ll0pvumuw1.bat
Удаляет файлы, которые сам же создал
- %TEMP%\ebtax6kaki
- %TEMP%\ddlolfbytc
- %TEMP%\oalmmntkiw
- %TEMP%\00zcf6vty0
- %TEMP%\bdjs9lnsub
- %TEMP%\zwcbuoelgp
- %TEMP%\m6tetknpjc
Сетевая активность
TCP
Другие
- '<DNS_SERVER>':53
UDP
- DNS ASK an######us.temp.swtest.ru
- 'localhost':123
Другое
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 6 /tr "'C:\MSOCache\All Users\csrss.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrss" /sc ONLOGON /tr "'C:\MSOCache\All Users\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "csrssc" /sc MINUTE /mo 8 /tr "'C:\MSOCache\All Users\csrss.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "taskhostwt" /sc MINUTE /mo 10 /tr "'%HOMEPATH%\taskhostw.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "taskhostw" /sc ONLOGON /tr "'%HOMEPATH%\taskhostw.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "taskhostwt" /sc MINUTE /mo 7 /tr "'%HOMEPATH%\taskhostw.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "explorere" /sc MINUTE /mo 11 /tr "'C:\Users\Default User\explorer.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "explorer" /sc ONLOGON /tr "'C:\Users\Default User\explorer.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "explorere" /sc MINUTE /mo 14 /tr "'C:\Users\Default User\explorer.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "spoolsvs" /sc MINUTE /mo 10 /tr "'<Текущая директория>\spoolsv.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "spoolsv" /sc ONLOGON /tr "'<Текущая директория>\spoolsv.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "spoolsvs" /sc MINUTE /mo 10 /tr "'<Текущая директория>\spoolsv.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "RegistryR" /sc MINUTE /mo 7 /tr "'C:\MSOCache\All Users\{90160000-001B-0409-0000-0000000FF1CE}-C\Registry.exe'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "Registry" /sc ONLOGON /tr "'C:\MSOCache\All Users\{90160000-001B-0409-0000-0000000FF1CE}-C\Registry.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "RegistryR" /sc MINUTE /mo 10 /tr "'C:\MSOCache\All Users\{90160000-001B-0409-0000-0000000FF1CE}-C\Registry.exe'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>z" /sc MINUTE /mo 12 /tr "'<Полный путь к файлу>'" /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>" /sc ONLOGON /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
- '<SYSTEM32>\schtasks.exe' /create /tn "<Имя файла>z" /sc MINUTE /mo 14 /tr "'<Полный путь к файлу>'" /rl HIGHEST /f
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\BUttRcaqlL.bat" (со скрытым окном)
- '<SYSTEM32>\chcp.com' 65001
- '<SYSTEM32>\w32tm.exe' /stripchart /computer:localhost /period:5 /dataonly /samples:2
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\FsJwje2h9K.bat" (со скрытым окном)
- '<SYSTEM32>\ping.exe' -n 10 localhost
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\dYHSyFVcIa.bat" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\iUmwAymTEC.bat" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\R64HSi6Xsg.bat" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\GzP9pAsQzT.bat" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\Ll0PvUMuW1.bat" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /C "%TEMP%\BVR2CWKREk.bat" (со скрытым окном)
