Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\UserDataSync] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\UserDataSync] 'ImagePath' = '<SYSTEM32>\UserSync.exe'
Создает следующие сервисы
- 'UserDataSync' <SYSTEM32>\UserSync.exe
Вредоносные функции
Запускает на исполнение
- '%WINDIR%\syswow64\net.exe' stop UserDataSync
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\nsy9377.tmp\nsprocess.dll
- %TEMP%\nsy9377.tmp\nsexec.dll
- %WINDIR%\syswow64\parameters.ini
- %WINDIR%\syswow64\relent-list.txt
- %WINDIR%\syswow64\usersync.exe
- %ALLUSERSPROFILE%\ics-openssl\3600\3600.txt
- %ALLUSERSPROFILE%\ics-openssl\3600\version.txt
- %ALLUSERSPROFILE%\ics-openssl\3600\readme.txt
- %ALLUSERSPROFILE%\ics-openssl\3600\legacy.dll
- %ALLUSERSPROFILE%\ics-openssl\3600\libssl-3.dll
- %ALLUSERSPROFILE%\ics-openssl\3600\libcrypto-3.dll
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\metadata\77ec63bda74bd0d0e0426dc8f8008506
- %WINDIR%\syswow64\config\systemprofile\appdata\locallow\microsoft\cryptneturlcache\content\77ec63bda74bd0d0e0426dc8f8008506
- %WINDIR%\syswow64\7z.dll
- %WINDIR%\syswow64\bd.ini
- %WINDIR%\syswow64\keywords.txt
- %WINDIR%\syswow64\blockinternet.txt
- %WINDIR%\syswow64\autocloseexe.txt
Удаляет файлы, которые сам же создал
- %TEMP%\nsy9377.tmp\nsexec.dll
- %TEMP%\nsy9377.tmp\nsprocess.dll
- %WINDIR%\syswow64\bd.ini
Сетевая активность
Подключается к
- 'hs#.#yftp.biz':17890
- 'pa###bin.com':443
TCP
Другие
- 'hs#.#yftp.biz':17890
- 'pa###bin.com':443
UDP
- DNS ASK hs#.#yftp.biz
- DNS ASK pa###bin.com
Другое
Создает и запускает на исполнение
- '%WINDIR%\syswow64\usersync.exe'
Запускает на исполнение
- '%WINDIR%\syswow64\net1.exe' stop UserDataSync
- '%WINDIR%\syswow64\sc.exe' delete UserDataSync (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' create UserDataSync binpath= "<SYSTEM32>\UserSync.exe" start= auto DisplayName= "User Data Synchronization" (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' description UserDataSync "Synchronizes user data between local storage and network resources" (со скрытым окном)
- '%WINDIR%\syswow64\sc.exe' failure UserDataSync reset= 3600 actions= restart/60000/restart/60000/restart/60000 (со скрытым окном)
- '%WINDIR%\syswow64\net.exe' start UserDataSync (со скрытым окном)
- '%WINDIR%\syswow64\net1.exe' start UserDataSync
- '<SYSTEM32>\wbem\wmiapsrv.exe'
- '%WINDIR%\syswow64\net.exe' stop UserDataSync (со скрытым окном)
