Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\runtimebroker_startup_962_str
Вредоносные функции
Патчит код
в динамической библиотеке AMSI
- Процесс powershell.exe, модуль Amsi.dll
в динамической библиотеке NTDLL
- Процесс powershell.exe, модуль ntdll.dll
Читает файлы, отвечающие за хранение паролей сторонними программами
- %LOCALAPPDATA%\google\chrome\user data\default\web data
- %HOMEPATH%\desktop\13.jpeg
- %HOMEPATH%\desktop\3.jpeg
- %HOMEPATH%\desktop\alert.html
- %HOMEPATH%\desktop\coffee.bmp
- %HOMEPATH%\desktop\dashborder_144.bmp
- %HOMEPATH%\desktop\february_catalogue__2015.doc
- %HOMEPATH%\desktop\fi51.doc
- %LOCALAPPDATA%\google\chrome\user data\default\login data
- %LOCALAPPDATA%\google\chrome\user data\default\cookies
- %APPDATA%\opera software\opera stable\login data
- %LOCALAPPDATA%\microsoft\edge\user data\default\web data
- %LOCALAPPDATA%\microsoft\edge\user data\default\login data
Изменения в файловой системе
Создает следующие файлы
- %TEMP%\_mei61282\vcruntime140.dll
- %TEMP%\_mei61282\_bz2.pyd
- %TEMP%\_mei61282\_decimal.pyd
- %TEMP%\_mei61282\_hashlib.pyd
- %TEMP%\_mei61282\_lzma.pyd
- %TEMP%\_mei61282\_socket.pyd
- %TEMP%\_mei61282\base_library.zip
- %TEMP%\_mei61282\libcrypto-1_1.dll
- %TEMP%\_mei61282\python310.dll
- %TEMP%\_mei61282\select.pyd
- %TEMP%\_mei61282\unicodedata.pyd
- %TEMP%\vpsbli1v
- %TEMP%\tmp68x__oiqclient.exe
- %TEMP%\tmp807sp094client.bat
- nul
- %APPDATA%\aypzlizwx\installedsoftware.txt
- %APPDATA%\aypzlizwx\browsers\outlook\outlook.txt
- %TEMP%\tmpe80f.tmp.dat
- %TEMP%\places.raw
- %APPDATA%\aypzlizwx\filegrabber\usb\default.bmp
- %APPDATA%\aypzlizwx\filegrabber\usb\dialmap.bmp
- %APPDATA%\aypzlizwx\filegrabber\usb\coffee.bmp
- %APPDATA%\aypzlizwx\filegrabber\usb\toolbar.bmp
- %APPDATA%\aypzlizwx\filegrabber\usb\dashborder_144.bmp
- %APPDATA%\aypzlizwx\filegrabber\usb\dial.bmp
- %APPDATA%\aypzlizwx\filegrabber\usb\weeklysheet1215.doc
- %APPDATA%\aypzlizwx\filegrabber\usb\fi51.doc
- %APPDATA%\aypzlizwx\filegrabber\desktop\13.jpeg
- %APPDATA%\aypzlizwx\filegrabber\desktop\3.jpeg
- %APPDATA%\aypzlizwx\filegrabber\desktop\alert.html
- %APPDATA%\aypzlizwx\filegrabber\desktop\coffee.bmp
- %APPDATA%\aypzlizwx\filegrabber\desktop\dashborder_144.bmp
- %APPDATA%\aypzlizwx\filegrabber\desktop\desktop.ini
- %APPDATA%\aypzlizwx\filegrabber\desktop\february_catalogue__2015.doc
- %APPDATA%\aypzlizwx\filegrabber\desktop\fi51.doc
- %APPDATA%\aypzlizwx\filegrabber\documents\desktop.ini
- %APPDATA%\aypzlizwx\filegrabber\downloads\desktop.ini
- %APPDATA%\aypzlizwx\filegrabber\pictures\desktop.ini
- %APPDATA%\aypzlizwx\filegrabber\pictures\camera roll\desktop.ini
- %TEMP%\tmpf4a2.tmp.dat
- %TEMP%\tmpf4b3.tmp.dat
- %APPDATA%\aypzlizwx\screen.png
- %TEMP%\tmpf61b.tmp.dat
- %TEMP%\tmpf755.tmp.dat
- %TEMP%\tmpf85f.tmp.dat
- %TEMP%\tmpf90c.tmp.dat
- %APPDATA%\aypzlizwx\process.txt
- %APPDATA%\aypzlizwx\browsers\firefox\bookmarks.txt
- %TEMP%\tmpfc98.tmp.dat
- %TEMP%\tmpfdc1.tmp.dat
- %APPDATA%\aypzlizwx\browsers\google\history.txt
- %TEMP%\tmpff59.tmp.dat
- %TEMP%\tmp73.tmp.dat
- %TEMP%\tmp101.tmp.dat
- %TEMP%\tmp43e.tmp.dat
- %APPDATA%\startup_str_962.vbs
- %TEMP%\tmp827.tmp.dat
- %TEMP%\tmp9ae.tmp.dat
- %APPDATA%\aypzlizwx\browsers\opera\bookmarks.txt
- %TEMP%\tmpc6e.tmp.dat
- %TEMP%\tmpdb8.tmp.dat
- %TEMP%\tmpf30.tmp.dat
- %TEMP%\tmp123e.tmp.dat
- %APPDATA%\startup_str_962.bat
- %APPDATA%\aypzlizwx\information.txt
- %APPDATA%\aypzlizwx\dotnetzip-1tfv1tfe.tmp
- %LOCALAPPDATA%\microsoft\clr_v4.0_32\usagelogs\tmp68x__oiqclient.exe.log
Удаляет файлы, которые сам же создал
- %TEMP%\vpsbli1v
- %TEMP%\_mei61282\base_library.zip
- %TEMP%\_mei61282\libcrypto-1_1.dll
- %TEMP%\_mei61282\python310.dll
- %TEMP%\_mei61282\select.pyd
- %TEMP%\_mei61282\unicodedata.pyd
- %TEMP%\_mei61282\vcruntime140.dll
- %TEMP%\_mei61282\_bz2.pyd
- %TEMP%\_mei61282\_decimal.pyd
- %TEMP%\_mei61282\_hashlib.pyd
- %TEMP%\_mei61282\_lzma.pyd
- %TEMP%\_mei61282\_socket.pyd
- %TEMP%\tmpe80f.tmp.dat
- %TEMP%\tmpf4b3.tmp.dat
- %TEMP%\tmpf61b.tmp.dat
- %TEMP%\tmpf4a2.tmp.dat
- %TEMP%\tmpf755.tmp.dat
- %TEMP%\tmpf85f.tmp.dat
- %TEMP%\places.raw
- %TEMP%\tmpf90c.tmp.dat
- %TEMP%\tmpfc98.tmp.dat
- %TEMP%\tmpfdc1.tmp.dat
- %TEMP%\tmpff59.tmp.dat
- %TEMP%\tmp73.tmp.dat
- %TEMP%\tmp101.tmp.dat
- %TEMP%\tmp43e.tmp.dat
- %TEMP%\tmp827.tmp.dat
- %TEMP%\tmp9ae.tmp.dat
- %TEMP%\tmpc6e.tmp.dat
- %TEMP%\tmpdb8.tmp.dat
- %TEMP%\tmpf30.tmp.dat
- %TEMP%\tmp123e.tmp.dat
- %APPDATA%\aypzlizwx\@[russia].zip
- %APPDATA%\aypzlizwx\browsers\firefox\bookmarks.txt
- %APPDATA%\aypzlizwx\browsers\google\history.txt
- %APPDATA%\aypzlizwx\browsers\opera\bookmarks.txt
- %APPDATA%\aypzlizwx\browsers\outlook\outlook.txt
- %APPDATA%\aypzlizwx\filegrabber\desktop\13.jpeg
- %APPDATA%\aypzlizwx\filegrabber\desktop\3.jpeg
- %APPDATA%\aypzlizwx\filegrabber\desktop\alert.html
- %APPDATA%\aypzlizwx\filegrabber\desktop\coffee.bmp
- %APPDATA%\aypzlizwx\filegrabber\desktop\dashborder_144.bmp
- %APPDATA%\aypzlizwx\filegrabber\desktop\desktop.ini
- %APPDATA%\aypzlizwx\filegrabber\desktop\february_catalogue__2015.doc
- %APPDATA%\aypzlizwx\filegrabber\desktop\fi51.doc
- %APPDATA%\aypzlizwx\filegrabber\documents\desktop.ini
- %APPDATA%\aypzlizwx\filegrabber\downloads\desktop.ini
- %APPDATA%\aypzlizwx\filegrabber\pictures\camera roll\desktop.ini
- %APPDATA%\aypzlizwx\filegrabber\pictures\desktop.ini
- %APPDATA%\aypzlizwx\filegrabber\usb\coffee.bmp
- %APPDATA%\aypzlizwx\filegrabber\usb\dashborder_144.bmp
- %APPDATA%\aypzlizwx\filegrabber\usb\default.bmp
- %APPDATA%\aypzlizwx\filegrabber\usb\dial.bmp
- %APPDATA%\aypzlizwx\filegrabber\usb\dialmap.bmp
- %APPDATA%\aypzlizwx\filegrabber\usb\fi51.doc
- %APPDATA%\aypzlizwx\filegrabber\usb\toolbar.bmp
- %APPDATA%\aypzlizwx\filegrabber\usb\weeklysheet1215.doc
- %APPDATA%\aypzlizwx\information.txt
- %APPDATA%\aypzlizwx\installedsoftware.txt
- %APPDATA%\aypzlizwx\process.txt
- %APPDATA%\aypzlizwx\screen.png
Перемещает следующие файлы
- %APPDATA%\aypzlizwx\dotnetzip-1tfv1tfe.tmp в %APPDATA%\aypzlizwx\@[russia].zip
Подменяет следующие файлы
- %TEMP%\places.raw
Сетевая активность
Подключается к
- 'fr###eoip.app':443
- 'dl.#####oxusercontent.com':443
- 'ip##se.com':443
- 'ap#.#pify.org':443
- 'ip##pi.com':80
- 'ap#.##legram.org':443
TCP
Запросы HTTP GET
Другие
- 'dl.#####oxusercontent.com':443
- 'fr###eoip.app':443
- 'ip##se.com':443
- 'ap#.#pify.org':443
UDP
- DNS ASK fr###eoip.app
- DNS ASK dl.#####oxusercontent.com
- DNS ASK ip##se.com
- DNS ASK ap#.#pify.org
- DNS ASK ip##pi.com
- DNS ASK ap#.##legram.org
Другое
Создает и запускает на исполнение
- '%TEMP%\tmp68x__oiqclient.exe'
- '<SYSTEM32>\wscript.exe' "%APPDATA%\startup_str_962.vbs"
Перезапускает анализируемый образец
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c %TEMP%\tmp807sp094Client.bat
- '<SYSTEM32>\net.exe' file
- '<SYSTEM32>\net1.exe' file
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' -noprofile -windowstyle hidden -ep bypass -command function decrypt_function($param_var){ $aes_var=[System.Security.Cryptography.Aes]::Create(); $aes_var.Mode=[System.Security.Cryptography.Ciph...
- '<SYSTEM32>\windowspowershell\v1.0\powershell.exe' Register-ScheduledTask -TaskName 'RuntimeBroker_startup_962_str' -Trigger (New-ScheduledTaskTrigger -AtLogon) -Action (New-ScheduledTaskAction -Execute '%APPDATA%\startup_str_962.vbs') -Setting... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /c ""%APPDATA%\startup_str_962.bat" " (со скрытым окном)
