Техническая информация
Вредоносные функции
Для затруднения выявления своего присутствия в системе
добавляет исключения антивируса:
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -inputformat none -outputformat none -NonInteractive -ExecutionPolicy Bypass -enc QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgACgAJwBDADoAXABQAHIAbwBnAHI...
- '%WINDIR%\syswow64\windowspowershell\v1.0\powershell.exe' -inputformat none -outputformat none -NonInteractive -ExecutionPolicy Bypass -enc QQBkAGQALQBNAHAAUAByAGUAZgBlAHIAZQBuAGMAZQAgAC0ARQB4AGMAbAB1AHMAaQBvAG4AUABhAHQAaAAgACgAWwBTAHkAcwB0AGUAbQAuAEU...
Патчит код
в динамической библиотеке NTDLL
- Процесс vcr-2005-2023-09.02.2023.exe, модуль ntdll.dll
Ищет следующие окна с целью
обнаружения утилит для анализа:
- ClassName: 'RegmonClass', WindowName: ''
- ClassName: 'FilemonClass', WindowName: ''
- ClassName: '', WindowName: 'File Monitor - Sysinternals: www.sysinternals.com'
- ClassName: 'PROCMON_WINDOW_CLASS', WindowName: ''
- ClassName: '', WindowName: 'Process Monitor - Sysinternals: www.sysinternals.com'
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\is-q42b4.tmp\<Имя файла>.tmp
- %TEMP%\is-4u5cf.tmp\_isetup\_setup64.tmp
- %TEMP%\is-4u5cf.tmp\_isetup\_isdecmp.dll
- %TEMP%\is-4u5cf.tmp\_isetup\_iscrypt.dll
- %TEMP%\is-4u5cf.tmp\innocallback.dll
- %ProgramFiles(x86)%\microsoft visual c++ redistributable latest\is-7sn3q.tmp
- %ProgramFiles(x86)%\microsoft visual c++ redistributable latest\is-e2kmn.tmp
- %TEMP%\is-4u5cf.tmp\is-989cj.tmp
- %TEMP%\is-4u5cf.tmp\is-abse4.tmp
- %ProgramFiles(x86)%\microsoft visual c++ redistributable latest\unins000.msg
- %ProgramFiles(x86)%\microsoft visual c++ redistributable latest\unins000.dat
- %TEMP%\_mei43282\vcruntime140.dll
- %TEMP%\_mei43282\_bz2.pyd
- %TEMP%\_mei43282\_ctypes.pyd
- %TEMP%\_mei43282\_decimal.pyd
- %TEMP%\_mei43282\_elementtree.pyd
- %TEMP%\_mei43282\_hashlib.pyd
- %TEMP%\_mei43282\_lzma.pyd
- %TEMP%\_mei43282\_queue.pyd
- %TEMP%\_mei43282\_socket.pyd
- %TEMP%\_mei43282\_ssl.pyd
- %TEMP%\_mei43282\charset_normalizer\md.cp39-win_amd64.pyd
- %TEMP%\_mei43282\charset_normalizer\md__mypyc.cp39-win_amd64.pyd
- %TEMP%\_mei43282\libcrypto-1_1.dll
- %TEMP%\_mei43282\libffi-7.dll
- %TEMP%\_mei43282\libssl-1_1.dll
- %TEMP%\_mei43282\psutil\_psutil_windows.pyd
- %TEMP%\_mei43282\pyexpat.pyd
- %TEMP%\_mei43282\python3.dll
- %TEMP%\_mei43282\python39.dll
- %TEMP%\_mei43282\pytransform.pyd
- %TEMP%\_mei43282\pywin32_system32\pywintypes39.dll
- %TEMP%\_mei43282\select.pyd
- %TEMP%\_mei43282\unicodedata.pyd
- %TEMP%\_mei43282\win32api.pyd
- %TEMP%\_mei43282\base_library.zip
- %TEMP%\_mei43282\certifi\cacert.pem
Удаляет файлы, которые сам же создал
- %TEMP%\is-4u5cf.tmp\vcr-2005-2023-09.02.2023.exe
- %TEMP%\is-4u5cf.tmp\webrootcommagentservice.bat
- %TEMP%\is-4u5cf.tmp\innocallback.dll
- %TEMP%\is-4u5cf.tmp\_isetup\_iscrypt.dll
- %TEMP%\is-4u5cf.tmp\_isetup\_isdecmp.dll
- %TEMP%\is-4u5cf.tmp\_isetup\_setup64.tmp
- %TEMP%\is-q42b4.tmp\<Имя файла>.tmp
Перемещает следующие файлы
- %ProgramFiles(x86)%\microsoft visual c++ redistributable latest\is-7sn3q.tmp в %ProgramFiles(x86)%\microsoft visual c++ redistributable latest\unins000.exe
- %ProgramFiles(x86)%\microsoft visual c++ redistributable latest\is-e2kmn.tmp в %ProgramFiles(x86)%\microsoft visual c++ redistributable latest\kmsauto++.exe
- %TEMP%\is-4u5cf.tmp\is-989cj.tmp в %TEMP%\is-4u5cf.tmp\vcr-2005-2023-09.02.2023.exe
- %TEMP%\is-4u5cf.tmp\is-abse4.tmp в %TEMP%\is-4u5cf.tmp\webrootcommagentservice.bat
Другое
Ищет следующие окна
- ClassName: 'Registry Monitor - Sysinternals: www.sysinternals.com' WindowName: ''
- ClassName: '18467-41' WindowName: ''
Создает и запускает на исполнение
- '%TEMP%\is-q42b4.tmp\<Имя файла>.tmp' /SL5="$1502A6,42293879,1214464,<Полный путь к файлу>"
- '%ProgramFiles(x86)%\microsoft visual c++ redistributable latest\kmsauto++.exe' /install /quiet /norestart
- '%TEMP%\is-4u5cf.tmp\vcr-2005-2023-09.02.2023.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\cmd.exe' /C ""%TEMP%\is-4U5CF.tmp\WebrootCommAgentService.bat"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c copy <SYSTEM32>\Tasks\KMSAuto "%TEMP%\KMSAuto.tmp" /Y (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c WMIC /NAMESPACE:\\root\Microsoft\Windows\Defender PATH MSFT_MpPreference call Add ExclusionPath="%ProgramFiles(x86)%\Microsoft Visual C++ Redistributable latest\KMSAuto++.exe" (со скрытым окном)
- '<SYSTEM32>\wbem\wmic.exe' /NAMESPACE:\\root\Microsoft\Windows\Defender PATH MSFT_MpPreference call Add ExclusionPath="%ProgramFiles(x86)%\Microsoft Visual C++ Redistributable latest\KMSAuto++.exe"
