Техническая информация
Для обеспечения автозапуска и распространения
Модифицирует следующие ключи реестра
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'ZuluhackService' = '%LOCALAPPDATA%\Microsoft\svchost.exe C:\snapshot\zuluhack\main.js'
- [HKCU\Software\Microsoft\Windows\CurrentVersion\Run] 'Zuluhack' = '%LOCALAPPDATA%\Microsoft\svchost.exe'
Создает или изменяет следующие файлы
- %APPDATA%\microsoft\windows\start menu\programs\startup\svchost.cmd
- %APPDATA%\microsoft\windows\start menu\programs\startup\zuluhack_startup.bat
Вредоносные функции
Запускает на исполнение
- '<SYSTEM32>\taskkill.exe' /F /IM msedge.exe /T
- '<SYSTEM32>\taskkill.exe' /F /IM chrome.exe /T
- '<SYSTEM32>\taskkill.exe' /pid 2652 /T /F
Изменения в файловой системе
Создает следующие файлы
- %LOCALAPPDATA%\microsoft\svchost.exe
- nul
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\binding.gyp
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\license
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\package.json
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\readme.md
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\deps\common-sqlite.gypi
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\deps\extract.js
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\deps\sqlite-autoconf-3520000.tar.gz
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\deps\sqlite3.gyp
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\lib\sqlite3-binding.js
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\lib\sqlite3.d.ts
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\lib\sqlite3.js
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\lib\trace.js
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\src\async.h
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\src\backup.cc
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\src\backup.h
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\src\database.cc
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\src\database.h
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\src\gcc-preinclude.h
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\src\macros.h
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\src\node_sqlite3.cc
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\src\statement.cc
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\src\statement.h
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\src\threading.h
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\build\release\node_sqlite3.node
- %TEMP%\pkg\5e1d1275e126c3fc584bcf5752fbf747bff89454bfcf8bc76c982b24e7815057\sqlite3\build\release\node_sqlite3.node.bak
- %LOCALAPPDATA%\microsoft\edge\user data\default\chrome_debug.log
- %LOCALAPPDATA%\microsoft\edge\user data\devtoolsactiveport
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\index
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_0
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_2
- %LOCALAPPDATA%\microsoft\edge\user data\default\gpucache\data_3
- %TEMP%\etilqs_uejymhavddkzm7s
- %LOCALAPPDATA%\microsoft\edge\user data\default\cookies-journal
- %LOCALAPPDATA%\microsoft\edge\user data\default\cookies
- %TEMP%\etilqs_4wjvuxqus4vnyqc
- %TEMP%\zuluhack.log
- %TEMP%\dpapi_decrypt.ps1
- %TEMP%\akula_system\steam_epic_cookie_summary.txt
- %TEMP%\akula_system\system_info.txt
- %TEMP%\akula_tokens\discord_tokens.txt
- %TEMP%\history_copy_1781122618212.db
- %TEMP%\history_copy_1781122618246.db
- %TEMP%\history_copy_1781122618253.db
- %TEMP%\history_copy_1781122618253.db-shm
- %TEMP%\akula_history\browser_history.txt
- %TEMP%\cobmahk.zip
- %TEMP%\cleanup.bat
Присваивает атрибут 'скрытый' для следующих файлов
- %LOCALAPPDATA%\microsoft\svchost.exe
- %APPDATA%\microsoft\windows\start menu\programs\startup\svchost.cmd
Удаляет файлы, которые сам же создал
- %TEMP%\akula_system\steam_epic_cookie_summary.txt
- %TEMP%\akula_system\system_info.txt
- %TEMP%\akula_tokens\discord_tokens.txt
- %TEMP%\akula_history\browser_history.txt
Сетевая активность
Подключается к
- 'localhost':9224
TCP
Запросы HTTP GET
Другие
- 'localhost':49695
UDP
- DNS ASK google.com
- DNS ASK ca####.discord.com
Другое
Ищет следующие окна
- ClassName: '' WindowName: ''
- ClassName: 'Chrome_MessageWindow' WindowName: '%LOCALAPPDATA%\Google\Chrome\User Data'
Создает и запускает на исполнение
- '%LOCALAPPDATA%\microsoft\svchost.exe' C:\snapshot\zuluhack\main.js
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /d /s /c "attrib +h "%LOCALAPPDATA%\Microsoft\svchost.exe"" (со скрытым окном)
- '<SYSTEM32>\attrib.exe' +h "%LOCALAPPDATA%\Microsoft\svchost.exe"
- '<SYSTEM32>\cmd.exe' /d /s /c "reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "ZuluhackService" /t REG_SZ /d ""%LOCALAPPDATA%\Microsoft\svchost.exe" "C:\snapshot\zuluhack\main.js"" /f" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "ZuluhackService" /t REG_SZ /d ""%LOCALAPPDATA%\Microsoft\svchost.exe" "C:\snapshot\zuluhack\main.js"" /f
- '<SYSTEM32>\cmd.exe' /d /s /c "attrib +h "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\svchost.cmd"" (со скрытым окном)
- '<SYSTEM32>\attrib.exe' +h "%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\svchost.cmd"
- '<SYSTEM32>\cmd.exe' /d /s /c "reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "Zuluhack" /d ""%LOCALAPPDATA%\Microsoft\svchost.exe"" /f" (со скрытым окном)
- '<SYSTEM32>\reg.exe' add "HKCU\Software\Microsoft\Windows\CurrentVersion\Run" /v "Zuluhack" /d ""%LOCALAPPDATA%\Microsoft\svchost.exe"" /f
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM msedge.exe /T" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /F /IM chrome.exe /T" (со скрытым окном)
- '%ProgramFiles(x86)%\microsoft\edge\application\msedge.exe' --allow-pre-commit-input --disable-background-networking --disable-background-timer-throttling --disable-backgrounding-occluded-windows --disable-breakpad --disable-client-side-phishing-detecti... (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c ""${psPath}" -NoProfile -ExecutionPolicy Bypass -File "${psFile}"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /d /s /c "start /b "" "%TEMP%\cleanup.bat"" (со скрытым окном)
- '<SYSTEM32>\cmd.exe' /K "%TEMP%\cleanup.bat"
- '<SYSTEM32>\timeout.exe' /t 3 /nobreak
- '<SYSTEM32>\cmd.exe' /d /s /c "taskkill /pid 2652 /T /F" (со скрытым окном)
- '%LOCALAPPDATA%\microsoft\svchost.exe' C:\snapshot\zuluhack\main.js (со скрытым окном)
- '%LOCALAPPDATA%\google\chrome\application\chrome.exe' --allow-pre-commit-input --disable-background-networking --disable-background-timer-throttling --disable-backgrounding-occluded-windows --disable-breakpad --disable-client-side-phishing-detecti... (со скрытым окном)
