Техническая информация
Для обеспечения автозапуска и распространения
Устанавливает следующие настройки сервисов
- [HKLM\SYSTEM\CurrentControlSet\Services\453423xsvc] 'Start' = '00000002'
- [HKLM\SYSTEM\CurrentControlSet\Services\453423xsvc] 'ImagePath' = 'cmd.exe /c "powershell.exe -Command ""function Local:MkQUcPdlFZHi{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$ML...
Создает следующие сервисы
- '453423xsvc' cmd.exe /c "powershell.exe -Command ""function Local:MkQUcPdlFZHi{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$MLBlfciYIgoEIF,[Parameter(Position=1)][Type]$ZrpZtZCEhH)$RCQftCPfacE=...
Вредоносные функции
Внедряет код в
следующие системные процессы:
- <SYSTEM32>\winlogon.exe
- <SYSTEM32>\lsass.exe
- <SYSTEM32>\svchost.exe
- <SYSTEM32>\dwm.exe
- <SYSTEM32>\wudfhost.exe
- <SYSTEM32>\spoolsv.exe
- <SYSTEM32>\sihost.exe
- <SYSTEM32>\taskhostw.exe
- %WINDIR%\explorer.exe
- <SYSTEM32>\runtimebroker.exe
- <SYSTEM32>\dllhost.exe
- <SYSTEM32>\securityhealthsystray.exe
- <SYSTEM32>\oobe\useroobebroker.exe
- <SYSTEM32>\sppextcomobj.exe
- <SYSTEM32>\slui.exe
следующие пользовательские процессы:
- iexplore.exe
- firefox.exe
Перехватывает функции
в браузерах
- Процесс firefox.exe, модуль advapi32.dll
- Процесс iexplore.exe, модуль advapi32.dll
Патчит код
в динамической библиотеке
- Процесс lsass.exe, модуль pdh.dll
- Процесс lsass.exe, модуль SAMLIB.dll
- Процесс lsass.exe, модуль win32u.dll
- Процесс svchost.exe, модуль pdh.dll
- Процесс svchost.exe, модуль SAMLIB.dll
- Процесс dwm.exe, модуль pdh.dll
- Процесс dwm.exe, модуль SAMLIB.dll
- Процесс wudfhost.exe, модуль pdh.dll
- Процесс wudfhost.exe, модуль SAMLIB.dll
- Процесс spoolsv.exe, модуль pdh.dll
- Процесс spoolsv.exe, модуль SAMLIB.dll
- Процесс sihost.exe, модуль pdh.dll
- Процесс sihost.exe, модуль SAMLIB.dll
- Процесс taskhostw.exe, модуль pdh.dll
- Процесс taskhostw.exe, модуль SAMLIB.dll
- Процесс runtimebroker.exe, модуль pdh.dll
- Процесс runtimebroker.exe, модуль SAMLIB.dll
- Процесс runtimebroker.exe, модуль ADVAPI32.dll
- Процесс securityhealthsystray.exe, модуль pdh.dll
- Процесс securityhealthsystray.exe, модуль SAMLIB.dll
- Процесс iexplore.exe, модуль pdh.dll
- Процесс iexplore.exe, модуль SAMLIB.dll
- Процесс firefox.exe, модуль pdh.dll
- Процесс firefox.exe, модуль SAMLIB.dll
- Процесс useroobebroker.exe, модуль pdh.dll
- Процесс useroobebroker.exe, модуль SAMLIB.dll
в динамической библиотеке AMSI
- Процесс powershell.exe, модуль Amsi.dll
- Процесс lsass.exe, модуль Amsi.dll
- Процесс svchost.exe, модуль Amsi.dll
- Процесс dwm.exe, модуль Amsi.dll
- Процесс wudfhost.exe, модуль Amsi.dll
- Процесс spoolsv.exe, модуль Amsi.dll
- Процесс sihost.exe, модуль Amsi.dll
- Процесс taskhostw.exe, модуль Amsi.dll
- Процесс explorer.exe, модуль Amsi.dll
- Процесс runtimebroker.exe, модуль Amsi.dll
- Процесс securityhealthsystray.exe, модуль Amsi.dll
- Процесс iexplore.exe, модуль Amsi.dll
- Процесс firefox.exe, модуль Amsi.dll
- Процесс useroobebroker.exe, модуль Amsi.dll
Завершает или пытается завершить
следующие системные процессы:
- <SYSTEM32>\cmd.exe
Изменения в файловой системе
Создает следующие файлы
- %WINDIR%\temp\__psscriptpolicytest_2gqvfd00.zbs.ps1
- %WINDIR%\temp\__psscriptpolicytest_4oscrret.gtk.psm1
- %WINDIR%\temp\content\4056-4468-powershell.exe-21-25-27-402.dump
- %WINDIR%\temp\content\4056-4468-powershell.exe-21-25-27-783.dump
- %WINDIR%\temp\content\4056-4468-powershell.exe-21-25-28-057.dump
- %WINDIR%\temp\content\4056-4468-powershell.exe-21-25-28-109.dump
- %WINDIR%\temp\content\4056-4468-powershell.exe-21-25-28-246.dump
- %WINDIR%\temp\content\4056-4468-powershell.exe-21-25-28-330.dump
- <SYSTEM32>\config\systemprofile\appdata\local\microsoft\windows\powershell\startupprofiledata-noninteractive
Удаляет файлы, которые сам же создал
- %WINDIR%\temp\__psscriptpolicytest_2gqvfd00.zbs.ps1
- %WINDIR%\temp\__psscriptpolicytest_4oscrret.gtk.psm1
Другое
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c "powershell.exe -Command ""function Local:MkQUcPdlFZHi{Param([OutputType([Type])][Parameter(Position=0)][Type[]]$MLBlfciYIgoEIF,[Parameter(Position=1)][Type]$ZrpZtZCEhH)$RCQftCPfacE=[AppDoma...
